1.

Dette bilag indeholder bestemmelser til gennemførelse af artikel 5 i bilag A. Der fastsættes navnlig de kriterier, som EU-Udenrigstjenesten skal gøre brug af til fastlæggelse af, om en person under hensyntagen til vedkommendes loyalitet, troværdighed og pålidelighed kan autoriseres til at få adgang til EUCI, samt de undersøgelsesmæssige og administrative procedurer, der skal følges i den forbindelse.

2.

»Personelsikkerhedsgodkendelse« (PSC) for adgang til EUCI er en udredning fra en kompetent myndighed i en medlemsstat, der udarbejdes efter gennemførelse af en sikkerhedsundersøgelse foretaget af de kompetente myndigheder i en medlemsstat, og som bekræfter, at en person, forudsat at vedkommendes »need-to-know« er fastslået, kan tildeles adgang til EUCI op til en nærmere bestemt klassifikationsgrad (CONFIDENTIEL UE/EU CONFIDENTIAL eller højere) indtil en nærmere bestemt dato, og den pågældende betegnes som »sikkerhedsgodkendt«.

3.

»Certifikat for personelsikkerhedsgodkendelse« (PSCC) er et certifikat fra EU-Udenrigstjenestens sikkerhedsmyndighed om, at en person er sikkerhedsgodkendt, og som viser den klassifikationsgrad for EUCI, som personen kan få adgang til, gyldighedsdatoen for den relevante PSC og certifikatets udløbsdato.

4.

»Autorisation til adgang til EUCI« er en autorisation fra EU-Udenrigstjenestens sikkerhedsmyndighed, som udstedes i overensstemmelse med denne afgørelse, efter at der er udstedt en PSC af de kompetente myndigheder i en medlemsstat, og som bekræfter, at en person, forudsat at vedkommendes »need-to-know« er fastslået, kan tildeles adgang til EUCI op til en nærmere bestemt klassifikationsgrad (CONFIDENTIEL UE/EU CONFIDENTIAL eller højere) indtil en nærmere bestemt dato, og den pågældende betegnes som »sikkerhedsgodkendt«.

5.

Adgang til informationer klassificeret RESTREINT UE/EU RESTRICTED kræver ikke nogen sikkerhedsgodkendelse og tildeles, efter at:

6.

En person kan kun autoriseres til at få adgang til informationer, der er klassificeret CONFIDENTIEL UE/EU CONFIDENTIAL eller højere, efter at:

7.

EU-Udenrigstjenesten skal identificere de stillinger i sin organisation, hvor der er brug for information klassificeret som CONFIDENTIEL UE/EU CONFIDENTIAL eller højere, og hvor der derfor er brug for en PSC til den relevante klassifikationsgrad, jf. stk. 4 ovenfor.

8.

Personale i EU-Udenrigstjenesten skal erklære, om de har statsborgerskab i mere end ét land.

9.

For personale i EU-Udenrigstjenesten skal ansættelsesmyndigheden i EU-Udenrigstjenestens sikkerhedsmyndighed fremsende det udfyldte spørgeskema vedrørende personelsikkerhed til NSA'en i den medlemsstat, hvor personen er statsborger, med anmodning om at der foretages en sikkerhedsundersøgelse for den EUCI-klassifikationsgrad, hvortil personen har brug for adgang.

10.

Hvis en person har statsborgerskab i mere end ét land, fremsendes anmodningen om en sikkerhedsundersøgelse til NSA'en i det land, hvorfra personen er blevet rekrutteret.

11.

Hvis EU-Udenrigstjenesten får kendskab til oplysninger, der er relevante for en sikkerhedsundersøgelse, om en person, der har ansøgt om en PSC, underretter EU-Udenrigstjenesten den relevante NSA herom i overensstemmelse med de relevante regler og bestemmelser.

12.

Efter gennemførelsen af sikkerhedsundersøgelsen underretter den relevante NSA EU-Udenrigstjenestens direktorat med ansvar for sikkerhed om resultatet af en sådan undersøgelse.

13.

Sikkerhedsundersøgelsen samt de opnåede resultater, på hvilke EU-Udenrigstjenesten bygger sin beslutning om, hvorvidt der skal tildeles en autorisation til adgang til EUCI eller ej, er underlagt de relevante love og bestemmelser, som er gældende i den pågældende medlemsstat, herunder bestemmelser om klageadgang. Der kan indgives klager over afgørelser truffet af EU-Udenrigstjenestens sikkerhedsmyndighed i overensstemmelse med personalevedtægten.

14.

Den sikkerhedskonklusion, som en PSC er baseret på, forudsat at den stadig er gyldig, omfatter alle de arbejdsopgaver, den pågældende person udfører i EU-Udenrigstjenesten, Generalsekretariatet for Rådet eller Kommissionen.

15.

EU-Udenrigstjenesten accepterer en autorisation til at få adgang til EUCI, der er tildelt af en anden EU-institution eller et andet EU-organ eller -agentur, forudsat at den stadig er gyldig. Autorisationen skal omfatte alle de arbejdsopgaver, den pågældende person udfører i EU-Udenrigstjenesten. Den EU-institution eller det EU-organ eller -agentur, hvor personen påbegynder sin ansættelse, giver den relevante NSA meddelelse om den nye arbejdsgiver.

16.

Hvis en persons ansættelsesperiode ikke påbegyndes inden for 12 måneder efter meddelelsen af sikkerhedsundersøgelsens resultat til EU-Udenrigstjenestens sikkerhedsmyndighed, eller hvis personens ansættelse afbrydes i en periode på 12 måneder eller mere, uden at personen i samme periode ansættes i EU-Udenrigstjenesten, i andre EU-institutioner, -agenturer eller -organer eller i en stilling i en medlemsstats nationale forvaltning, der kræver adgang til klassificerede informationer, skal dette meddeles den relevante NSA med henblik på at få bekræftet, at det fortsat er gyldigt og relevant.

17.

Hvis EU-Udenrigstjenesten får kendskab til oplysninger om, at en person, der er i besiddelse af en gyldig PSC, udgør en sikkerhedsrisiko, underretter EU-Udenrigstjenesten den relevante NSA herom i overensstemmelse med de relevante regler og bestemmelser og kan suspendere adgangen til EUCI eller inddrage autorisationen til at få adgang til EUCI. Når en NSA underretter EU-Udenrigstjenesten om, at den trækker en sikkerhedskonklusion tilbage, der er givet i overensstemmelse med punkt 12, litra a), vedrørende en person, der er i besiddelse af en gyldig autorisation til adgang til EUCI, kan EU-Udenrigstjenestens sikkerhedsmyndighed anmode NSA'en om de nærmere oplysninger, som denne er i stand til at give i henhold til de nationale love og bestemmelser. Hvis de negative oplysninger bekræftes, inddrages ovennævnte autorisation, og personen har ikke længere adgang til EUCI eller til stillinger, hvor en sådan adgang er mulig, eller hvor den pågældende ville kunne udgøre en sikkerhedsrisiko.

18.

En beslutning om inddragelse af en autorisation til adgang til EUCI fra en medarbejder i EU-Udenrigstjenesten og, når det er relevant, grundene hertil meddeles den pågældende person, som kan anmode om at blive hørt af EU-Udenrigstjenestens sikkerhedsmyndighed. Oplysninger, der videregives af en NSA, er underlagt de relevante love og bestemmelser, som er gældende i den pågældende medlemsstat, herunder bestemmelser om klageadgang. Der kan indgives klager over afgørelser truffet af EU-Udenrigstjenestens sikkerhedsmyndighed i overensstemmelse med personalevedtægten.

19.

Nationale eksperter, der udstationeres til EU-Udenrigstjenesten i en stilling, hvortil der kræves adgang til klassificerede informationer CONFIDENTIEL UE/EU CONFIDENTIAL eller højere, skal fremlægge en gyldig national PSC for adgang til EUCI for den relevante klassifikationsgrad over for EU-Udenrigstjenestens sikkerhedsmyndighed, inden de påbegynder arbejdet. Ovenstående procedure forvaltes af den udsendende medlemsstat.

20.

EU-Udenrigstjenesten vedligeholder en database over sikkerhedsgodkendelsesstatus for alt personale under EU-Udenrigstjenestens ansvar og for EU-Udenrigstjenestens kontrahenters medarbejdere. Disse registre skal indeholde den klassifikationsgrad for EUCI, som personen kan få adgang til (CONFIDENTIEL UE/EU CONFIDENTIAL eller højere), datoen for tildelingen af PSC'en samt dens gyldighedsperiode.

21.

Sammen med medlemsstaterne og andre EU-institutioner, -agenturer og -organer indføres der passende koordineringsprocedurer for at sikre, at EU-Udenrigstjenesten fører et korrekt og omfattende register over sikkerhedsgodkendelsesstatus for alt personale under EU-Udenrigstjenestens ansvar og for EU-Udenrigstjenestens kontrahenters medarbejdere.

22.

EU-Udenrigstjenestens sikkerhedsmyndighed kan udstede et certifikat for personelsikkerhedsgodkendelse (PSCC) med angivelse af den klassifikationsgrad for EUCI, som personen kan få adgang til (CONFIDENTIEL UE/EU CONFIDENTIAL eller højere), gyldighedsdatoen for den relevante PSC eller autorisationen og selve certifikatets udløbsdato.

23.

Personer, der er behørigt autoriseret til adgang til EUCI i kraft af deres funktioner og i overensstemmelse med nationale love og bestemmelser, skal alt efter omstændighederne af EU-Udenrigstjenestens direktorat med ansvar for sikkerhed gøres bekendt med deres sikkerhedsmæssige forpligtelser med hensyn til beskyttelse af EUCI.

24.

Inden der opnås autorisation til adgang til EUCI, skal alle personer skriftligt bekræfte, at de har forstået deres forpligtelser med hensyn til beskyttelse af EUCI og de konsekvenser, det kan få, hvis EUCI kompromitteres. EU-Udenrigstjenesten fører et register over sådanne skriftlige bekræftelser.

25.

Alle personer, der er autoriseret til at have adgang til eller skal håndtere EUCI, skal indledningsvis gøres opmærksom på og med regelmæssige mellemrum gøres bekendt med sikkerhedsrisici og skal øjeblikkelig indberette enhver henvendelse eller aktivitet, de finder mistænkelig eller usædvanlig, til de relevante sikkerhedsmyndigheder.

26.

Alle personer, der har fået tildelt adgang til EUCI, skal være omfattet af løbende personelsikkerhedsforanstaltninger (dvs. opfølgningsforanstaltninger), så længe de håndterer EUCI. Ansvaret for løbende personelsikkerhed påhviler:

27.

Alle personer, der ikke længere udfører funktioner, som kræver adgang til EUCI, skal underrettes om og, når det er relevant, skriftligt bekræfte deres forpligtelser med hensyn til fortsat beskyttelse af EUCI.

28.

EU-Udenrigstjenestens sikkerhedsmyndighed kan i hastetilfælde, hvor det er behørigt begrundet i EU-Udenrigstjenestens interesse, og inden en fuldstændig sikkerhedsundersøgelse er afsluttet, efter samråd med NSA'en i den medlemsstat, hvor den pågældende er statsborger, og med forbehold af resultatet af en foreløbig kontrol til undersøgelse af, at der ikke er konstateret negative oplysninger, give tjenestemænd og øvrige ansatte ved EU-Udenrigstjenesten midlertidig autorisation til at få adgang til EUCI med henblik på en specifik opgave. Der bør hurtigst muligt gennemføres en fuldstændig sikkerhedsundersøgelse. Sådanne midlertidige autorisationer er gyldige i en periode, der ikke overstiger seks måneder, og tillader ikke adgang til informationer, der er klassificeret TRES SECRET UE/EU TOP SECRET. Alle personer, der har fået en midlertidig autorisation, skal skriftligt bekræfte, at de har forstået deres forpligtelser med hensyn til beskyttelse af EUCI og konsekvenserne af en eventuel kompromittering af EUCI. EU-Udenrigstjenesten fører et register over sådanne skriftlige bekræftelser.

29.

Når en person skal tiltræde en stilling, hvortil der kræves en PSC med en højere klassifikationsgrad end den, den pågældende allerede har, kan tiltrædelsen ske midlertidigt, forudsat at:

30.

Ovennævnte procedure anvendes for engangsadgang til EUCI med en klassifikationsgrad, der er ét trin højere end den, personen er sikkerhedsgodkendt til. Der må ikke gøres tilbagevendende brug af denne procedure.

31.

Under ganske særlige omstændigheder, f.eks. i forbindelse med tjenesterejser i fjendtlige miljøer eller under en eskalerende international krise, kan HR, EU-Udenrigstjenestens sikkerhedsmyndighed eller DGBA, såfremt det er tvingende nødvendigt, især for at redde menneskeliv, give tilladelse, så vidt muligt skriftligt, til, at personer, der ikke har den krævede PSC, får adgang til informationer, der er klassificeret CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET, hvis en sådan tilladelse er absolut nødvendig. Denne tilladelse skal registreres med en beskrivelse af de informationer, der er givet adgang til.

32.

Drejer det sig om informationer, der er klassificeret TRES SECRET UE/EU TOP SECRET, begrænses denne nødadgang til EU-borgere, som allerede er autoriseret til at have adgang enten til den nationale klassifikationsgrad, der svarer til TRES SECRET UE/EU TOP SECRET, eller til informationer, der er klassificeret SECRET UE/EU SECRET.

33.

EU-Udenrigstjenestens Sikkerhedsudvalg underrettes om tilfælde, hvor proceduren i stk. 31 og 32 anvendes.

34.

EU-Udenrigstjenestens Sikkerhedsudvalg forelægges hvert år en rapport om anvendelsen af procedurerne i dette afsnit.

35.

Når personer skal deltage i møder i EU-Udenrigstjenestens hovedkontor og EU-delegationer, hvor der drøftes informationer, som er klassificeret CONFIDENTIEL UE/EU CONFIDENTIAL eller højere, skal deres PSC-status bekræftes. For medlemsstaternes repræsentanter, tjenestemænd fra GSC og Kommissionen fremsender de relevante myndigheder et PSCC eller en anden dokumentation for PSC til EU-Udenrigstjenestens direktorat med ansvar for sikkerhed, EU-delegationens sikkerhedskoordinator, eller dokumenterne forelægges undtagelsesvis af den pågældende person. Der kan eventuelt anvendes en konsolideret navneliste, som indeholder den relevante dokumentation for PSC.

36.

Hvis en PSC for adgang til EUCI inddrages fra en person, hvis arbejdsopgaver kræver deltagelse i møder på EU-Udenrigstjenestens hovedkontor eller i en EU-delegation, hvor der drøftes informationer, som er klassificeret CONFIDENTIEL UE/EU CONFIDENTIAL eller højere, underretter den kompetente myndighed EU-Udenrigstjenesten herom.

37.

Når personer skal ansættes under forhold, hvor de eventuelt kan få adgang til informationer, der er klassificeret CONFIDENTIEL UE/EU CONFIDENTIAL eller højere, skal de sikkerhedsgodkendes på behørig vis eller skal til stadighed ledsages.

38.

Kurerer, vagter og eskorter skal sikkerhedsgodkendes til den relevante klassifikationsgrad eller på anden vis undersøges i passende omfang i overensstemmelse med nationale love og bestemmelser og med jævne mellemrum gøres bekendt med sikkerhedsprocedurer til beskyttelse af EUCI og de forpligtelser, der påhviler dem med hensyn til beskyttelse af de informationer, de får betroet, eller som de uforvarende har adgang til.

1.

Dette bilag indeholder bestemmelser til gennemførelse af artikel 6 i bilag A. Der fastsættes mindstekrav til den fysiske beskyttelse af lokaliteter, bygninger, kontorer, lokaler og andre områder, hvor EUCI håndteres og opbevares, herunder områder, der huser CIS'er.

2.

De fysiske sikkerhedsforanstaltninger udformes med henblik på at forhindre uautoriseret adgang til EUCI ved:

3.

EU-Udenrigstjenesten skal anvende en risikostyringsproces med henblik på beskyttelse af EUCI i deres lokaliteter for at sikre, at der anvendes en fysisk beskyttelsesgrad, der svarer til den vurderede risiko. Risikostyringsprocessen skal tage hensyn til alle relevante faktorer, navnlig:

4.

EU-Udenrigstjenestens sikkerhedsmyndighed fastlægger under anvendelse af begrebet dybdeforsvar den rette kombination af de fysiske sikkerhedsforanstaltninger, der skal iværksættes. De kan omfatte en eller flere af følgende foranstaltninger:

5.

EU-Udenrigstjenestens direktorat med ansvar for sikkerhed kan foretage visitation ved ind- og udgang som afskrækkelse mod uautoriseret indførelse af materiale eller uautoriseret fjernelse af EUCI fra lokaliteter eller bygninger.

6.

Når der er risiko for indblik i EUCI, selv uforsætligt, skal der træffes passende foranstaltninger til at imødegå denne risiko.

7.

I forbindelse med nye faciliteter skal der defineres fysiske sikkerhedskrav og funktionelle specifikationer som en del af planlægningen og udformningen af faciliteterne. I forbindelse med eksisterende faciliteter skal de fysiske sikkerhedskrav opfyldes i videst mulig udstrækning.

8.

Når der skal anskaffes udstyr (f.eks. sikkerhedscontainere, makulatorer, dørlåse, elektroniske adgangskontrolsystemer, IDS, alarmsystemer) til fysisk beskyttelse af EUCI, skal den kompetente sikkerhedsmyndighed sikre, at udstyret opfylder de godkendte tekniske standarder og minimumskrav.

9.

De tekniske specifikationer for udstyr, der skal anvendes til fysisk beskyttelse af EUCI, fastsættes i sikkerhedsretningslinjer, der skal godkendes af EU-Udenrigstjenestens Sikkerhedsudvalg.

10.

Sikkerhedssystemer skal inspiceres med jævne mellemrum, og udstyret skal vedligeholdes regelmæssigt. Vedligeholdelsesarbejdet skal tage hensyn til resultatet af inspektionerne for at sikre, at udstyret fortsat fungerer optimalt.

11.

Effektiviteten af de individuelle sikkerhedsforanstaltninger og af det samlede sikkerhedssystem skal reevalueres ved hver inspektion.

12.

Der etableres to typer fysisk beskyttede områder eller nationale pendanter hertil med henblik på den fysiske beskyttelse af EUCI:

13.

EU-Udenrigstjenestens sikkerhedsmyndighed bestemmer, at et område opfylder kravene til at blive betegnet som et administrativt område, et sikret område eller et teknisk sikret område.

14.

For så vidt angår administrative områder:

15.

For så vidt angår sikrede områder:

16.

Hvis adgang til et sikret område i praksis indebærer direkte adgang til de klassificerede informationer, der opbevares deri, gælder følgende yderligere krav:

17.

Sikrede områder, der er beskyttet mod aflytning, udpeges som teknisk sikrede områder. Følgende yderligere krav gælder:

18.

Inden der skal anvendes kommunikationsanordninger og elektrisk eller elektronisk udstyr af enhver art i områder, hvor der afholdes møder om eller arbejdes med informationer, der er klassificeret SECRET UE/EU SECRET eller højere, og når truslen for EUCI vurderes som værende stor, skal dette udstyr uanset punkt 17, litra d), først undersøges af EU-Udenrigstjenestens sikkerhedsmyndighed for at sikre, at ingen forståelige informationer uagtsomt eller ulovligt transmitteres ud af det sikrede områdes perimeter ved hjælp af sådant udstyr.

19.

Sikrede områder, hvor der ikke er vagtpersonale døgnet rundt, skal, når det er relevant, inspiceres ved afslutningen af normal arbejdstid og med tilfældige intervaller uden for normal arbejdstid, medmindre der findes et IDS.

20.

Sikrede områder og teknisk sikrede områder kan etableres midlertidigt inden for et administrativt område med henblik på at afholde et klassificeret møde eller til et andet lignende formål.

21.

Der skal for hvert sikret område udarbejdes operationelle sikkerhedsprocedurer, som indeholder bestemmelser om:

22.

Der skal bygges bokslokaler inden for sikrede områder. Vægge, gulve, lofter, vinduer og låsbare døre skal godkendes af EU-Udenrigstjenestens sikkerhedsmyndighed og yde beskyttelse svarende til den, der ydes af en sikkerhedscontainer, der er godkendt til opbevaring af EUCI af samme klassifikationsgrad.

23.

EUCI, der er klassificeret RESTREINT UE/EU RESTRICTED, kan håndteres:

24.

EUCI, der er klassificeret RESTREINT UE/EU RESTRICTED, skal opbevares i passende aflåste kontormøbler i et administrativt område eller et sikret område. De kan opbevares midlertidigt uden for et sikret område eller et administrativt område, forudsat at den, der er i besiddelse af informationerne, har lovet at overholde kompenserende foranstaltninger, der er fastslået i sikkerhedsinstruktioner udstedt af EU-Udenrigstjenestens sikkerhedsmyndighed.

25.

EUCI, der er klassificeret CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET, kan håndteres:

26.

EUCI, der er klassificeret CONFIDENTIEL UE/EU CONFIDENTIAL og SECRET UE/EU SECRET, skal opbevares i et sikret område i en sikkerhedscontainer eller et bokslokale.

27.

EUCI, der er klassificeret TRES SECRET UE/EU TOP SECRET, skal håndteres i et sikret område.

28.

EUCI, der er klassificeret TRES SECRET UE/EU TOP SECRET, skal opbevares i et sikret område på hovedkontoret under et af følgende forhold:

29.

Regler for transport af EUCI uden for fysisk beskyttede områder findes i bilag A III.

30.

EU-Udenrigstjenestens sikkerhedsmyndighed fastsætter procedurer for forvaltning af nøgler og koder til kontorer, rum, bokslokaler og sikkerhedscontainere. Sådanne procedurer skal beskytte mod uautoriseret adgang.

31.

Koder skal læres udenad af det mindst mulige antal personer, der har behov for at kende dem. Koder til sikkerhedscontainere og bokslokaler, hvor der opbevares EUCI, skal ændres:

1.

Dette bilag indeholder bestemmelser til gennemførelse af artikel 7 i bilag A. Der fastsættes de administrative foranstaltninger til kontrol af EUCI i hele deres livscyklus for at bidrage til at afskrække fra, afsløre og udbedre skade forårsaget af forsætlig eller uagtsom kompromittering eller bortkomst af sådanne informationer.

2.

Informationer klassificeres, hvis de kræver beskyttelse med hensyn til fortroligheden.

3.

Det er udstederen af EUCI, der er ansvarlig for at fastlægge klassifikationsgraden i overensstemmelse med de relevante klassifikationsretningslinjer og for udbredelse af informationerne.

4.

EUCI's klassifikationsgrad fastlægges i overensstemmelse med bilag A, artikel 2, stk. 2, og ved henvisning til de sikkerhedsretningslinjer, der skal godkendes i henhold til bilag A, artikel 3, stk. 3.

5.

Klassificerede informationer fra medlemsstaterne, der udveksles med EU-Udenrigstjenesten, skal tildeles den samme beskyttelsesgrad som EUCI og have en tilsvarende klassifikationsgrad. Der findes en sammenligningstabel i tillæg B til denne afgørelse.

6.

Klassifikationsgraden og, hvor dette er relevant, datoen eller den specifikke hændelse, hvorefter de kan nedklassificeres eller afklassificeres, skal fremgå klart og korrekt, uanset om EUCI forekommer i papirform eller i mundtlig, elektronisk eller en hvilken som helst anden form.

7.

De enkelte dele af et givet dokument (dvs. sider, afsnit og punkter i et dokument samt bilag, tillæg og vedhæftet materiale) kan kræve forskellig klassifikationsgrad og skal mærkes i overensstemmelse hermed, også ved lagring i elektronisk form.

8.

I videst muligt omfang skal dokumenter, der indeholder dele med forskellig klassifikationsgrad, struktureres, så dele med en anden klassifikationsgrad let kan identificeres og udskilles, hvis det er nødvendigt.

9.

Et dokuments eller en sagsmappes samlede klassifikationsgrad skal mindst være den samme som den del, der har den højeste klassifikationsgrad. Når informationer er indsamlet fra forskellige kilder, skal det endelige produkt gennemses for at fastlægge dets samlede klassifikationsgrad, da det kan tilsige en højere klassifikationsgrad end de enkelte dele.

10.

En følgeskrivelse klassificeres lige så højt som bilagenes højeste klassifikationsgrad. Udstederen skal klart ved hjælp af en passende mærkning angive, på hvilket niveau følgeskrivelsen skal klassificeres, hvis den adskilles fra sine bilag, f.eks.

CONFIDENTIEL UE/EU CONFIDENTIAL

Uden vedhæftet materiale RESTREINT UE/EU RESTRICTED

11.

Ud over en af de klassifikationsmærkninger, der er nævnt i bilag A, artikel 2, stk. 2, kan EUCI forsynes med yderligere mærkninger, f.eks. med:

12.

Hvis det besluttes at videregive EUCI til et tredjeland eller en international organisation, fremsender EU-Udenrigstjenestens direktorat med ansvar for sikkerhed de pågældende klassificerede informationer med en videregivelsespåtegning, der angiver det tredjeland eller den internationale organisation, som informationerne er videregivet til.

13.

EU-Udenrigstjenestens sikkerhedsmyndighed vedtager en liste over godkendte mærkninger.

14.

Standardiserede forkortede klassifikationsmærkninger kan anvendes for at angive klassifikationsgraden for de enkelte afsnit i en tekst. Forkortelserne erstatter ikke den uforkortede klassifikationsmærkning.

15.

Følgende standardforkortelser kan anvendes i EU's klassificerede dokumenter for at angive afsnits eller tekstdeles klassifikationsgrad, hvis teksten er kortere end en enkelt side:

16.

Når der udarbejdes et klassificeret EU-dokument,

17.

Hvis punkt 16 ikke kan finde anvendelse på EUCI, træffes der andre passende foranstaltninger i overensstemmelse med de sikkerhedsretningslinjer, der skal fastlægges i medfør af denne afgørelse.

18.

På det tidspunkt, hvor informationerne udarbejdes, angiver udstederen så vidt muligt og især i forbindelse med informationer, der er klassificeret RESTREINT UE/EU RESTRICTED, om EUCI kan nedklassificeres eller afklassificeres på en nærmere bestemt dato eller efter en specifik begivenhed.

19.

EU-Udenrigstjenesten tager regelmæssigt EUCI i dets besiddelse op til revision for at vurdere, om klassifikationsgraden fortsat skal finde anvendelse. EU-Udenrigstjenesten opretter et system, således at klassifikationsgraden af registrerede EUCI, som den har udfærdiget, tages op til revision mindst hvert femte år. En sådan revision er ikke nødvendig, hvis udstederen fra begyndelsen har angivet, at informationerne automatisk på et nærmere bestemt tidspunkt nedklassificeres eller afklassificeres, og informationerne er mærket i overensstemmelse hermed.

20.

Der oprettes en central registratur på hovedkontoret. For hver organisatorisk enhed i EU-Udenrigstjenesten, hvor EUCI håndteres, skal der oprettes en ansvarlig registratur, som er underordnet den centrale registratur, for at sikre, at EUCI håndteres i overensstemmelse med denne afgørelse. Registraturerne oprettes som sikrede områder som defineret i bilag A.

Hver EU-delegation opretter sin egen EUCI-registratur.

EU-Udenrigstjenestens sikkerhedsmyndighed udpeger en hovedregistratur for disse registraturer.

21.

I denne afgørelse forstås ved sikkerhedsregistrering (»registrering«) anvendelse af procedurer, som registrerer informationernes livscyklus, inklusive deres udbredelse og destruktion. I forbindelse med et CIS kan registreringsprocedurerne gennemføres ved processer i selve CIS'et.

22.

Alt materiale, der er klassificeret CONFIDENTIEL UE/EU CONFIDENTIAL eller højere, skal registreres, når det ankommer til eller forlader en organisatorisk enhed, herunder EU-delegationer. Informationer, der er klassificeret TRES SECRET UE/EU TOP SECRET, registreres i dertil oprettede registraturer.

23.

Den centrale registratur skal på EU-Udenrigstjenestens hovedkontor være den vigtigste ind- og udgang ved udveksling af klassificerede informationer med tredjelande og internationale organisationer. Den skal føre register over alle disse udvekslinger.

24.

EU-Udenrigstjenestens sikkerhedsmyndighed godkender sikkerhedsretningslinjer vedrørende sikkerhedsregistrering af EUCI i henhold til artikel 14 i denne afgørelse.

25.

Den centrale registratur skal på EU-Udenrigstjenestens hovedkontor udpeges til at fungere som den centrale modtagelses- og afsendelsesmyndighed for informationer, der er klassificeret TRES SECRET UE/EU TOP SECRET. Der kan i nødvendigt omfang oprettes underregistraturer, der håndterer disse informationer i registreringsøjemed.

26.

Underregistraturer må ikke sende TRES SECRET UE/EU TOP SECRET-dokumenter direkte til andre underregistraturer under samme centrale TRES SECRET UE/EU TOP SECRET-registratur eller til anden side uden sidstnævntes udtrykkelige skriftlige godkendelse.

27.

Dokumenter, der er klassificeret TRES SECRET UE/EU TOP SECRET, må kun kopieres eller oversættes med udstederens forudgående skriftlige samtykke.

28.

Hvis udstederen af dokumenter, der er klassificeret SECRET UE/EU SECRET eller lavere, ikke har stillet særlige betingelser for kopiering eller oversættelse af dem, kan sådanne dokumenter kopieres eller oversættes efter instruks fra den, der er i besiddelse af dem.

29.

De sikkerhedsforanstaltninger, der gælder for det oprindelige dokument, gælder også for kopier og oversættelser af det. Der må kun tages kopier af dokumenter, som er klassificeret CONFIDENTIEL UE/EU CONFIDENTIAL eller højere, af en relevant (under-)registratur og med en sikret kopimaskine. Kopierne skal registreres.

30.

Transport af EUCI er omfattet af beskyttelsesforanstaltningerne i punkt 32-42. Ved transport af EUCI via elektroniske medier kan nedennævnte sikkerhedsforanstaltninger, uanset artikel 7, stk. 4, i bilag A, suppleres med de relevante tekniske modforanstaltninger som foreskrevet af EU-Udenrigstjenestens sikkerhedsmyndighed med henblik på at minimere risikoen for bortkomst eller kompromittering.

31.

EU-Udenrigstjenestens sikkerhedsmyndighed udfærdiger instruktioner for transport af EUCI i overensstemmelse med denne afgørelse.

32.

EUCI, der transporteres i en bygning eller en selvstændig gruppe af bygninger, skal tildækkes for at forhindre observation af deres indhold.

33.

I en bygning eller en selvstændig gruppe af bygninger skal informationer, der er klassificeret TRES SECRET UE/EU TOP SECRET, transporteres af hensigtsmæssigt sikkerhedsgodkendte personer i en sikret kuvert, hvorpå kun modtagerens navn er angivet.

34.

EUCI, der transporteres mellem bygninger eller lokaliteter inden for EU, skal pakkes således, at de er beskyttet mod uautoriseret videregivelse.

35.

Transport af informationer, der er klassificeret SECRET UE/EU SECRET eller lavere, skal ske på en af følgende måder:

Ved transport fra en medlemsstat til en anden finder bestemmelserne i litra c) kun anvendelse på informationer, der er klassificeret CONFIDENTIEL UE/EU CONFIDENTIAL eller lavere.

36.

Materiale, der er klassificeret CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET (f.eks. udstyr eller maskiner), og som ikke kan transporteres på de i punkt 34 omhandlede måder, transporteres som fragt af kommercielle fragtfirmaer i overensstemmelse med bilag A V.

37.

Transport af informationer, der er klassificeret TRES SECRET UE/EU TOP SECRET, mellem bygninger eller lokaliteter inden for EU, skal ske ved hjælp af militær, officiel eller diplomatisk kurer, alt efter hvad der er hensigtsmæssigt.

38.

EUCI, der transporteres fra EU til et tredjelands område eller mellem EU-enheder i tredjelande, skal pakkes således, at de er beskyttet mod uautoriseret videregivelse.

39.

Transport af informationer, der er klassificeret CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET, fra EU til et tredjelands område og transport af EUCI, der er klassificeret op til SECRET UE/EU SECRET, mellem EU-enheder i tredjelande skal ske på en af følgende måder:

40.

Transport af informationer, der er klassificeret CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET, og som videregives af EU til et tredjeland eller en international organisation, skal overholde de relevante bestemmelser i en informationssikkerhedsaftale eller en administrativ ordning i henhold til bilag A, artikel 10, stk. 2.

41.

Informationer, der er klassificeret RESTREINT UE/EU RESTRICTED, kan også transporteres fra EU til et tredjelands område af posttjenester eller kommercielle kurertjenester.

42.

Transport af informationer, der er klassificeret SECRET UE/EU TOP SECRET, fra EU til et tredjelands område eller mellem EU-enheder i tredjelande, skal ske ved hjælp af militær eller diplomatisk kurer.

43.

EU's klassificerede dokumenter, som der ikke længere er brug for, kan destrueres, jf. dog de relevante regler og bestemmelser om arkivering.

44.

Dokumenter, der er omfattet af registrering i henhold til bilag A, artikel 7, stk. 2, destrueres af den ansvarlige registratur efter anvisning fra den, der er i besiddelse af dem, eller fra en kompetent myndighed. Journalerne og andre registreringsinformationer ajourføres i overensstemmelse hermed.

45.

For så vidt angår dokumenter, der er klassificeret SECRET UE/EU SECRET eller TRES SECRET UE/EU TOP SECRET, foretages destruktionen i overværelse af et vidne, der er sikkerhedsgodkendt til mindst den klassifikationsgrad, som det destruerede dokument har.

46.

Den registraturansvarlige og vidnet, hvis dettes tilstedeværelse er påkrævet, underskriver en destruktionsattest, der opbevares i registraturen. Registraturen opbevarer destruktionsattester vedrørende dokumenter, der er klassificeret TRES SECRET UE/EU TOP SECRET, i en periode på mindst ti år og vedrørende dokumenter, der er klassificeret CONFIDENTIEL UE/EU CONFIDENTIAL og SECRET UE/EU SECRET, i en periode på mindst fem år.

47.

Klassificerede dokumenter, herunder dokumenter, der er klassificeret RESTREINT UE/EU RESTRICTED, destrueres ved metoder, som opfylder de relevante EU-standarder eller tilsvarende standarder eller er godkendt af medlemsstaterne i overensstemmelse med nationale tekniske standarder, for at forhindre hel eller delvis rekonstruktion.

48.

Destruktion af computerlagringsmedier, der anvendes til lagring af EUCI, foregår i overensstemmelse med procedurer, der er godkendt af EU-Udenrigstjenestens sikkerhedsmyndighed.

49.

I henhold til artikel 16 i denne afgørelse omfatter EU-Udenrigstjenestens sikkerhedsinspektioner:

50.

EU-Udenrigstjenestens sikkerhedsinspektioner gennemføres af et inspektionshold fra EU-Udenrigstjenestens direktorat med ansvar for sikkerhed og om nødvendigt med støtte fra sikkerhedseksperter fra andre EU-institutioner eller fra medlemsstaterne.

Inspektionsholdet skal have adgang til alle steder, hvor der håndteres EUCI, navnlig de steder, hvor registraturerne og CIS'erne findes.

51.

EU-Udenrigstjenestens sikkerhedsinspektioner i EU-delegationer kan, når det måtte anses for nødvendigt, gennemføres med støtte fra de sikkerhedsansvarlige ved medlemsstaternes ambassader, der er lokaliseret i tredjelandene.

52.

Inden udgangen af hvert kalenderår vedtager EU-Udenrigstjenestens sikkerhedsmyndighed et sikkerhedsinspektionsprogram for EU-Udenrigstjenesten for det følgende år.

53.

Når det måtte anses for nødvendigt, kan EU-Udenrigstjenestens sikkerhedsmyndighed arrangere sikkerhedsinspektioner, som ikke er med i ovennævnte program.

54.

Ved afslutningen af sikkerhedsinspektionen forelægges de vigtigste konklusioner og anbefalinger for den inspicerede enhed. Inspektionsholdet udarbejder derefter en inspektionsrapport. Hvis der foreslås korrigerende foranstaltninger, og fremsættes anbefalinger, medtages der tilstrækkelige detaljer i rapporten til at understøtte konklusionerne. Rapporten fremsendes til EU-Udenrigstjenestens sikkerhedsmyndighed og til lederen af den inspicerede enhed.

Der udarbejdes regelmæssigt en rapport under ansvar af EU-Udenrigstjenestens direktorat med ansvar for sikkerhed for at fremhæve erfaringerne fra de inspektioner, der er gennemført i en nærmere angivet periode og behandlet af EU-Udenrigstjenestens Sikkerhedsudvalg.

55.

EU-Udenrigstjenestens direktorat med ansvar for sikkerhed kan, når det er hensigtsmæssigt, udpege medvirkende eksperter til at deltage i fælles EU-inspektionshold, som udfører inspektioner i EU-agenturer og -organer, der er oprettet i henhold til afsnit V, kapitel 2, i TEU.

56.

EU-Udenrigstjenestens direktorat med ansvar for sikkerhed udarbejder og ajourfører en sikkerhedsinspektionstjekliste over de punkter, der skal kontrolleres ved EU-Udenrigstjenestens sikkerhedsinspektion. Denne tjekliste fremsendes til EU-Udenrigstjenestens Sikkerhedsudvalg.

57.

Oplysninger til brug for tjeklisten indhentes navnlig under inspektionen hos de ledende sikkerhedsansvarlige i den enhed, der inspiceres. Når tjeklisten er udfyldt med de detaljerede svar, klassificeres den efter aftale med den inspicerede enhed. Den indgår ikke i inspektionsrapporten.

1.

Dette bilag indeholder bestemmelser til gennemførelse af artikel 8 i bilag A.

2.

Følgende egenskaber og koncepter for informationssikring (IA) er væsentlige for sikkerheden og for, at operationer i kommunikations- og informationssystemer (CIS'er) kan fungere korrekt:

3.

Nedenstående bestemmelser er grundlaget for sikkerheden ved al håndtering af EUCI i CIS'er. Detaljerede krav til gennemførelse af disse bestemmelser defineres i sikkerhedspolitikker og sikkerhedsretningslinjer for informationssikring.

4.

Sikkerhedsrisikostyringen skal være en integrerende del af at fastlægge, udvikle, drive og opretholde CIS'er. Risikostyringen (vurdering, behandling, accept og kommunikation) skal foregå som en gentagelsesproces, der gennemføres i fællesskab af repræsentanter for systemejere, projektmyndigheder, driftsmyndigheder og sikkerhedsgodkendelsesmyndigheder under anvendelse af en gennemprøvet, gennemsigtig og fuldt forståelig risikovurderingsproces. Anvendelsesområdet for CIS'et og dets aktiver skal klart defineres i starten af risikostyringsprocessen.

5.

EU-Udenrigstjenestens kompetente myndigheder skal tage de potentielle trusler mod CIS'er op til revision og opretholde ajourførte og præcise trusselvurderinger, der afspejler det aktuelle operative miljø. De skal hele tiden ajourføre deres viden om spørgsmål i forbindelse med sårbarhed og regelmæssigt tage sårbarhedsvurderingen op til revision med afsæt i et informationsteknologimiljø i stadig forandring.

6.

Formålet med sikkerhedsrisikostyringen er at anvende et sæt sikkerhedsforanstaltninger, der giver sig udslag i en tilfredsstillende balance mellem brugerkrav og residualsikkerhedsrisiko.

7.

De specifikke krav og det detaljeringsomfang og den detaljeringsgrad, der fastlægges af den relevante sikkerhedsakkrediteringsmyndighed (SAA) ved akkreditering af et CIS, skal svare til den vurderede risiko under hensyntagen til alle relevante faktorer, herunder klassifikationsgraden af de EUCI, der håndteres i CIS'et. Akkreditering skal omfatte en formel udredning om residualrisikoen og en ansvarlig myndigheds accept af residualrisikoen.

8.

Opretholdelse af sikkerheden skal være et krav i den samlede CIS-livscyklus fra startfasen til udtagningen af drift.

9.

Den rolle, som hver enkelt aktør i et CIS spiller, og dens interaktion med hensyn til sikkerhed skal fastlægges for hver fase af livscyklussen.

10.

Ethvert CIS, herunder dets tekniske og ikke-tekniske sikkerhedsforanstaltninger, er underkastet afprøvning af sikkerheden under akkrediteringsprocessen for at sikre, at det relevante sikkerhedsniveau ved de gennemførte sikkerhedsforanstaltninger er nået, og kontrollere, at de er korrekt gennemført, integreret og konfigureret.

11.

Der skal regelmæssigt udføres sikkerhedsvurderinger, -inspektioner og -revisioner under driften og vedligeholdelsen af et CIS, og når der opstår ekstraordinære omstændigheder.

12.

Sikkerhedsdokumentationen for et CIS skal udvikles i løbet af dets livscyklus som en integrerende del af ændrings- og konfigurationsstyringsprocessen.

13.

EU-Udenrigstjenesten samarbejder med GSC, Kommissionen og medlemsstaterne om at udvikle bedste praksis for sikkerhedsbeskyttelse af EUCI, der håndteres i CIS'er. Retningslinjerne for bedste praksis skal omfatte de tekniske, fysiske, organisatoriske og proceduremæssige sikkerhedsforanstaltninger for CIS'er, som bevisligt er effektive med hensyn til imødegåelse af trusler og sårbarheder.

14.

Beskyttelsen af EUCI, der håndteres i CIS'er, skal trække på de erfaringer, som enheder involveret i IA både inden for og uden for EU har gjort.

15.

Udbredelsen og den efterfølgende gennemførelse af bedste praksis skal bidrage til at nå et ækvivalent sikringsniveau for de forskellige CIS'er, der drives af EU-Udenrigstjenesten til håndtering af EUCI.

16.

For at afbøde risikoen i forbindelse med CIS'er skal der gennemføres en række tekniske og ikke-tekniske sikkerhedsforanstaltninger, der er organiseret som en kæde af forsvarsmekanismer. Denne kæde skal omfatte:

a)    afskrækkelse : sikkerhedsforanstaltninger med det formål at afskrække fjendtlig planlægning af angreb på CIS'er

b)    forebyggelse : sikkerhedsforanstaltninger med det formål at hindre eller blokere angreb på CIS'er

c)    afsløring : sikkerhedsforanstaltninger med det formål at opdage angreb på CIS'er

d)    modstandsdygtighed : sikkerhedsforanstaltninger med det formål at begrænse virkningerne af et angreb til et minimum af informationer eller CIS-aktiver og afværge yderligere skade og

e)    genopretning : sikkerhedsforanstaltninger med det formål at genoprette en sikker situation for CIS'er.

Det skal afgøres ved en risikovurdering, hvor strenge og udbredte disse tekniske sikkerhedsforanstaltninger skal være.

17.

EU-Udenrigstjenestens kompetente myndigheder skal sikre, at de kan imødegå hændelser, der kan overskride organisatoriske og nationale grænser, med henblik på at koordinere svar og udveksle informationer om disse hændelser og den hermed forbundne risiko (computer-nødberedskabskapaciteter).

18.

Der implementeres kun de funktioner, det udstyr og de tjenester, der skal til for at opfylde operative behov og undgå unødvendige risici.

19.

CIS-brugere og automatiserede processer skal kun tildeles den adgang, de privilegier eller de autorisationer, der er behov for til at udføre opgaverne, for at begrænse enhver skade, der kan opstå ved uheld, fejl eller uautoriseret brug af CIS-ressourcer.

20.

De registreringsprocedurer, der udføres af et CIS, skal, hvor det er nødvendigt, kontrolleres som led i akkrediteringsprocessen.

21.

Den første forsvarslinje for CIS'ers sikkerhed er, at der er bevidsthed om risiciene og de tilgængelige sikkerhedsforanstaltninger. Det er navnlig nødvendigt, at alt det personale, der er involveret i CIS'ers livscyklus, herunder brugerne, forstår:

22.

For at sikre, at sikkerhedsansvaret forstås, skal IA-uddannelse og -bevidstgørelse være obligatorisk for alt berørt personale, herunder ledere og CIS-brugere.

23.

Den nødvendige grad af tillid til sikkerhedsforanstaltningerne, defineret som et sikringsniveau, fastlægges i overensstemmelse med resultatet af risikostyringsprocessen og med de relevante sikkerhedspolitikker og sikkerhedsretningslinjer.

24.

Sikringsniveauet efterprøves ved at anvende internationalt anerkendte eller nationalt godkendte processer og metoder. Dette omfatter primært evaluering, kontrol og revision.

25.

Kryptoprodukter til beskyttelse af EUCI skal først evalueres og godkendes af en national kryptogodkendelsesmyndighed (CAA) i en medlemsstat.

26.

Inden de kan anbefales til godkendelse af EU-Udenrigstjenestens CAA i overensstemmelse med artikel 8, stk. 5, i denne afgørelse, skal sådanne kryptoprodukter gennemgå en andenpartsevaluering med positivt resultat foretaget af en kvalificeret evalueringsmyndighed (AQUA) i en medlemsstat, der ikke medvirker til at designe eller fremstille udstyret. Hvor detaljeret andenpartsevalueringen skal være, afhænger af den planlagte højeste klassifikationsgrad for de EUCI, der skal beskyttes ved hjælp af disse produkter.

27.

Hvis det er berettiget af specifikke operative grunde, kan EU-Udenrigstjenestens CAA efter henstilling fra Rådets Sikkerhedsudvalg dispensere fra kravene ifølge punkt 25 eller 26 og udstede en midlertidig godkendelse for en specifik periode efter proceduren i artikel 8, stk. 5, i denne afgørelse.

28.

En AQUA skal være en CAA i en medlemsstat, der på grundlag af kriterier, som er fastsat af Rådet, er blevet akkrediteret til at foretage andenpartsevalueringen af kryptoprodukter til beskyttelse af EUCI.

29.

Den højtstående repræsentant skal godkende en sikkerhedspolitik for kvalifikation og godkendelse af ikke-kryptografiske IT-sikkerhedsprodukter.

30.

Uanset bestemmelserne i denne afgørelse kan der ved transmission af EUCI inden for sikrede områder eller administrative områder anvendes ukrypteret distribution eller kryptering på et lavere niveau på grundlag af resultatet af en risikostyringsproces og med forbehold af godkendelse fra SAA'en.

31.

I denne afgørelse forstås ved sammenkobling direkte kobling af to eller flere IT-systemer med henblik på udveksling af data og andre informationsressourcer (f.eks. kommunikation) i en eller flere retninger.

32.

Et CIS skal behandle et tilkoblet IT-system som upålideligt og gennemføre beskyttelsesforanstaltninger for at kontrollere udvekslingen af klassificerede informationer.

33.

For alle sammenkoblinger af et CIS med et andet IT-system skal følgende grundlæggende krav opfyldes:

34.

Der må ikke være nogen sammenkobling mellem et akkrediteret CIS og et ubeskyttet eller offentligt net, medmindre CIS'et har godkendt den BPS, der er installeret til dette formål mellem CIS'et og det ubeskyttede eller offentlige net. Sikkerhedsforanstaltningerne for sådanne sammenkoblinger skal tages op til revision af den kompetente informationssikringsmyndighed (IAA) og godkendes af den kompetente SAA.

Hvis det ubeskyttede eller offentlige net udelukkende anvendes som bærer, og dataene er krypteret ved hjælp af et kryptoprodukt, som er godkendt i overensstemmelse med artikel 8, stk. 5, i denne afgørelse, anses forbindelsen ikke for at være en sammenkobling.

35.

Direkte sammenkobling eller kaskadekobling mellem et CIS, der er godkendt til at håndtere informationer, der er klassificeret TRES SECRET UE/EU TOP SECRET, og et ubeskyttet eller offentligt netværk er forbudt.

36.

Computer-lagringsmedier skal destrueres i overensstemmelse med procedurer, der er godkendt af EU-Udenrigstjenestens sikkerhedsmyndighed.

37.

Computer-lagringsmedier skal genanvendes, nedklassificeres eller afklassificeres i overensstemmelse med sikkerhedsretningslinjer, der skal fastlægges i henhold til artikel 8, stk. 2, i denne afgørelse.

38.

Uanset bestemmelserne i denne afgørelse kan de særlige procedurer, der er beskrevet i det følgende, anvendes i et begrænset tidsrum i en nødsituation, f.eks. under forestående eller faktiske krise-, konflikt- eller krigssituationer eller under ekstraordinære operative forhold.

39.

EUCI kan transmitteres ved hjælp af kryptoprodukter, der er godkendt til en lavere klassifikationsgrad eller endog ukrypteret med den kompetente myndigheds godkendelse, hvis eventuel forsinkelse ville forvolde en skade, der er langt alvorligere end den skade, som videregivelse af det klassificerede materiale ville forvolde, og hvis:

40.

Klassificerede informationer, der transmitteres under de i stk. 39 nævnte omstændigheder, må ikke bære nogen mærkning eller påtegning, der skiller dem ud fra informationer, der er uklassificerede eller kan beskyttes ved hjælp af et disponibelt kryptoprodukt. Modtagerne skal via andre midler uden ophold underrettes om klassifikationsgraden.

41.

Ved anvendelse af punkt 39 aflægges der efterfølgende rapport til EU-Udenrigstjenestens direktorat med ansvar for sikkerhed, som så aflægger rapport til EU-Udenrigstjenestens Sikkerhedsudvalg. Af denne rapport skal som minimum fremgå afsenderen, modtageren og udstederen af hver enkelt EUCI.

42.

Der skal oprettes følgende IA-funktioner i medlemsstaterne og i EU-Udenrigstjenesten. Disse funktioner behøver ikke være organiseret i individuelle enheder. De skal have separate mandater. Disse funktioner og det medfølgende ansvar kan dog kombineres eller integreres i samme organisatoriske enhed eller opdeles i forskellige organisatoriske enheder, forudsat at det undgås, at der opstår interne interessekonflikter eller konflikter mellem arbejdsopgaver.

43.

IAA'en er ansvarlig for:

44.

TEMPESTmyndigheden (TA'en) er ansvarlig for at sikre, at CIS'er er i overensstemmelse med TEMPESTpolitikkerne og -retningslinjerne. Den skal godkende TEMPESTmodforanstaltninger vedrørende anlæg og produkter til beskyttelse af EUCI op til en nærmere bestemt klassifikationsgrad i det operative miljø.

45.

CAA'en er ansvarlig for at sikre, at kryptoprodukter er i overensstemmelse med de respektive kryptoretningslinjer. Den skal godkende et kryptoprodukt til beskyttelse af EUCI op til en nærmere bestemt klassifikationsgrad i det operative miljø.

46.

CDA'en er ansvarlig for:

47.

Sikkerhedsakkrediteringsmyndigheden (SAA) for hvert system er ansvarlig for:

48.

EU-Udenrigstjenestens SAA er ansvarlig for akkreditering af alle CIS'er, der anvendes inden for EU-Udenrigstjenestens kompetenceområde.

49.

Et fælles SAB er ansvarligt for akkreditering af CIS'er, der både henhører under EU-Udenrigstjenestens SAA og medlemsstaternes SAA'er. Det består af en SAA-repræsentant fra hver medlemsstat med deltagelse af en SAA-repræsentant for GSC og Kommissionen. Andre enheder med knudepunkter i et CIS indbydes til at deltage, når det pågældende system drøftes.

SAB har en repræsentant for EU-Udenrigstjenestens SAA som formand. Det træffer afgørelse ved konsensus blandt SAA-repræsentanterne for institutioner, medlemsstater og andre enheder med knudepunkter i CIS'et. Det aflægger regelmæssigt rapport om sine aktiviteter til EU-Udenrigstjenestens Sikkerhedsudvalg og meddeler det alle akkrediteringsudredninger.

50.

Den operative IA-myndighed for hvert system er ansvarlig for:

1.

Dette bilag indeholder bestemmelser til gennemførelse af artikel 9 i bilag A. Det fastsætter generelle sikkerhedsbestemmelser, der er gældende for industrivirksomheder eller andre enheder under forhandlingerne forud for indgåelsen af en kontrakt og under hele livscyklussen for klassificerede kontrakter, der tildeles af EU-Udenrigstjenesten.

2.

EU-Udenrigstjenestens sikkerhedsmyndighed godkender retningslinjer for industrisikkerhed, der navnlig indeholder detaljerede krav vedrørende facilitetssikkerhedsgodkendelser (FSC'er), de særlige sikkerhedsbetingelser (SAL), besøg, transmission og transport af EUCI.

3.

Inden der iværksættes et udbud eller tildeles en klassificeret kontrakt, skal EU-Udenrigstjenesten som kontraherende myndighed fastsætte klassifikationsgraden for informationer, som skal videregives til budgivere og kontrahenter, samt klassifikationsgraden for informationer, som kontrahenten skal udarbejde. Med henblik herpå udarbejder EU-Udenrigstjenesten en SCG, der skal anvendes ved opfyldelsen af kontrakten.

4.

For at fastlægge klassifikationsgraden for de forskellige elementer i en klassificeret kontrakt anvendes følgende principper:

5.

Sikkerhedskravene for de enkelte kontrakter beskrives i en SAL. SAL'en skal, når det er relevant, indeholde SCG'en og skal være en integrerende del af en klassificeret kontrakt eller underkontrakt.

6.

SAL'en skal indeholde bestemmelser om, at kontrahenten og/eller underkontrahenten skal opfylde minimumsstandarderne i denne afgørelse. Manglende overholdelse af minimumsstandarderne kan udgøre tilstrækkelig grund til, at kontrakten ophæves.

7.

Afhængigt af omfanget af programmer eller projekter, der kræver adgang til eller håndtering eller opbevaring af EUCI, kan den kontraherende myndighed, der er udpeget til at forvalte programmet eller projektet, udarbejde specifikke program-/projektsikkerhedsinstruktioner (PSI). PSI'en kræver godkendelse fra medlemsstaternes NSA'er/DSA'er eller enhver anden berørt kompetent sikkerhedsmyndighed, der deltager i programmet/projektet, og kan indeholde yderligere sikkerhedskrav.

8.

EU-Udenrigstjenestens direktorat med ansvar for sikkerhed beder en NSA eller DSA eller en anden kompetent sikkerhedsmyndighed i medlemsstaten om at tildele en FSC som angivelse af, at en industrivirksomhed eller en anden enhed i overensstemmelse med nationale love og bestemmelser kan sikkerhedsbeskytte EUCI med den relevante klassifikationsgrad (CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET) inden for sine faciliteter. En kontrahent, underkontrahent eller en potentiel kontrahent eller underkontrahent kan først få rådighed over eller tildeles adgang til EUCI, når beviset for FSC er blevet sendt til EU-Udenrigstjenesten.

9.

Når det er relevant, underretter EU-Udenrigstjenesten som kontraherende myndighed den relevante NSA/DSA eller en anden kompetent sikkerhedsmyndighed om, at der er behov for en FSC i perioden forud for indgåelse af en kontrakt eller med henblik på opfyldelsen af en kontrakt. En FSC eller PSC er påkrævet i perioden forud for indgåelsen af en kontrakt, hvis EUCI, der er klassificeret CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET, skal videregives i løbet af udbudsproceduren.

10.

EU-Udenrigstjenesten tildeler som kontraherende myndighed ikke en klassificeret kontrakt til en udvalgt budgiver, før den fra NSA'en/DSA'en eller en anden kompetent sikkerhedsmyndighed i den medlemsstat, hvor den pågældende kontrahent eller underkontrahent er registreret, har fået bekræftet, at den relevante FSC, hvor det er påkrævet, er udstedt.

11.

EU-Udenrigstjenesten anmoder som kontraherende myndighed NSA'en/DSA'en eller en anden kompetent sikkerhedsmyndighed, som har udstedt en FSC, om at underrette om eventuelle negative oplysninger, der påvirker FSC'en. I tilfælde af en underkontrakt underrettes NSA'en/DSA'en eller anden kompetent sikkerhedsmyndighed herom.

12.

Hvis den relevante NSA/DSA eller en anden kompetent sikkerhedsmyndighed inddrager en FSC, er det en tilstrækkelig grund til, at EU-Udenrigstjenesten som kontraherende myndighed ophæver en klassificeret kontrakt eller udelukker en budgiver fra udvælgelsen.

13.

Alt personel, der arbejder for kontrahenter, og som har behov for adgang til EUCI, der er klassificeret CONFIDENTIEL UE/EU CONFIDENTIAL eller højere, skal være hensigtsmæssigt sikkerhedsgodkendt, og deres adgang til informationerne skal være »need-to-know«-baseret. Selv om der ikke kræves en PSC for adgang til EUCI med klassifikationsgraden RESTREINT UE/EU RESTRICTED, gælder »need-to-know«-princippet for en sådan adgang.

14.

Ansøgninger om PSC'er for kontrahenters personel skal fremsættes over for den NSA/DSA, der har ansvaret for enheden.

15.

EU-Udenrigstjenesten skal understrege over for kontrahenter, der ønsker at ansætte en statsborger fra et tredjeland i en stilling, der kræver adgang til EUCI, at ansvaret for at beslutte, om den pågældende kan tildeles adgang til sådanne informationer, jf. denne afgørelse, og bekræfte at udstederens samtykke skal foreligge, inden der gives en sådan adgang, påhviler NSA/DSA'en i den medlemsstat, hvor den ansættende enhed er lokaliseret og registreret.

16.

Hvis EUCI videregives til en budgiver i perioden forud for indgåelsen af en kontrakt, skal udbudsbekendtgørelsen indeholde en bestemmelse, der forpligter en budgiver, der undlader at afgive bud, eller som ikke udvælges, til at returnere alle klassificerede dokumenter inden for en bestemt tidsfrist.

17.

Når der er tildelt en klassificeret kontrakt eller underkontrakt, underretter EU-Udenrigstjenesten som kontraherende myndighed kontrahentens eller underkontrahentens NSA/DSA eller en anden kompetent sikkerhedsmyndighed om sikkerhedsbestemmelserne for den klassificerede kontrakt.

18.

Når sådanne kontrakter ophæves eller udløber, underretter EU-Udenrigstjenesten som kontraherende myndighed (og/eller, alt efter hvad der er hensigtsmæssigt, NSA'en/DSA'en eller en anden kompetent sikkerhedsmyndighed i tilfælde af en underkontrakt) straks NSA'en/DSA'en eller en anden kompetent sikkerhedsmyndighed i den medlemsstat, hvor kontrahenten eller underkontrahenten er registreret.

19.

Som hovedregel er kontrahenten eller underkontrahenten forpligtet til at returnere EUCI, som vedkommende er i besiddelse af, til den kontraherende myndighed ved ophævelsen eller udløbet af den klassificerede kontrakt eller underkontrakt.

20.

De særlige bestemmelser for bortskaffelse af EUCI under opfyldelsen af kontrakten eller ved dens ophævelse eller udløb fastsættes i SAL'en.

21.

Er kontrahenten eller underkontrahenten autoriseret til at beholde EUCI efter kontraktens ophævelse eller udløb, skal minimumsstandarderne i denne afgørelse fortsat opfyldes, og kontrahenten eller underkontrahenten skal beskytte EUCI's fortrolighed.

22.

De betingelser, hvorpå kontrahenten kan udbyde dele af kontrakten i underentreprise, skal fastsættes i udbuddet og i kontrakten.

23.

En kontrahent skal indhente tilladelse fra EU-Udenrigstjenesten som kontraherende myndighed, inden en del af en klassificeret kontrakt udbydes i underentreprise. En underkontrakt må ikke tildeles industrivirksomheder eller andre enheder, som er registreret i et tredjeland, der ikke har indgået en informationssikkerhedsaftale med EU.

24.

Kontrahenten er ansvarlig for at sikre, at alle underkontraheringsaktiviteter gennemføres i overensstemmelse med minimumsstandarderne i denne afgørelse, og må ikke videregive EUCI til en underkontrahent uden forudgående skriftligt samtykke fra den kontraherende myndighed.

25.

For så vidt angår EUCI, der udarbejdes eller håndteres af kontrahenten eller underkontrahenten, varetager den kontraherende myndighed udsteders rettigheder.

26.

Hvis EU-Udenrigstjenesten, kontrahenter eller underkontrahenter skal have adgang til informationer, der er klassificeret CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET, i hinandens lokaliteter med henblik på opfyldelse af en klassificeret kontrakt, skal der tilrettelægges besøg i samråd med de pågældende NSA'er/DSA'er eller enhver anden berørt kompetent sikkerhedsmyndighed. Dette berører ikke NSA'ers/DSA'ers forret til i forbindelse med specifikke projekter at blive enige om en procedure, hvormed disse besøg kan arrangeres direkte.

27.

Alle besøgende skal være i besiddelse af en relevant PSC og have »need-to-know« med henblik på adgang til EUCI vedrørende kontrakten med EU-Udenrigstjenesten.

28.

Besøgende kan kun få adgang til EUCI, der har relation til besøgets formål.

29.

For så vidt angår elektronisk transmission af EUCI, finder de relevante bestemmelser i artikel 8 i bilag A og i bilag A IV anvendelse.

30.

For så vidt angår transport af EUCI, finder de relevante bestemmelser i bilag A III, i overensstemmelse med nationale love og bestemmelser, anvendelse.

31.

For så vidt angår fragttransport af klassificeret materiale, finder følgende principper anvendelse ved fastlæggelsen af sikkerhedsordninger:

32.

EUCI videregives til kontrahenter og underkontrahenter i tredjelande, som har en gældende sikkerhedsaftale med EU i overensstemmelse med de sikkerhedsforanstaltninger, der er aftalt mellem EU-Udenrigstjenesten som kontraherende myndighed og NSA'en/DSA'en i det pågældende tredjeland, hvor kontrahenten er registreret.

33.

Sammen med medlemsstatens NSA/DSA, alt efter hvad der er hensigtsmæssigt, har EU-Udenrigstjenesten som kontraherende myndighed ret til at besøge kontrahenters/underkontrahenters faciliteter på grundlag af kontraktbestemmelser for at kontrollere, at de relevante sikkerhedsforanstaltninger til beskyttelse af EUCI, der er klassificeret RESTREINT UE/EU RESTRICTED, er iværksat som krævet ifølge kontrakten.

34.

I det omfang, det er nødvendigt i henhold til nationale love og bestemmelser, underretter EU-Udenrigstjenesten som kontraherende myndighed NSA'er/DSA'er eller en anden kompetent sikkerhedsmyndighed om kontrakter eller underkontrakter, som indeholder informationer, der er klassificeret RESTREINT UE/EU RESTRICTED.

35.

En FSC eller en PSC til kontrahenter eller underkontrahenter og deres personale er ikke påkrævet for kontrakter, der tildeles af EU-Udenrigstjenesten og indeholder informationer, som er klassificeret RESTREINT UE/EU RESTRICTED.

36.

EU-Udenrigstjenesten undersøger som kontraherende myndighed svarene på indkaldelser af bud vedrørende kontrakter, der kræver adgang til informationer, der er klassificeret RESTREINT UE/EU RESTRICTED, uanset de krav med hensyn til FSC eller PSC, der måtte findes i nationale love og bestemmelser.

37.

De betingelser, hvorpå kontrahenten kan udbyde dele af kontrakten i underentreprise, skal være i overensstemmelse med punkt 22-24.

38.

Hvis en kontrakt omfatter håndtering af informationer, der er klassificeret RESTREINT UE/EU RESTRICTED, i et CIS, som drives af en kontrahent, sikrer EU-Udenrigstjenesten som kontraherende myndighed, at kontrakten eller underkontrakten nærmere beskriver de nødvendige tekniske og administrative krav for akkreditering af CIS'et, som svarer til den vurderede risiko, under hensyntagen til alle relevante faktorer. Omfanget af akkrediteringen af et CIS aftales mellem den kontraherende myndighed og den relevante NSA/DSA.

1.

Dette bilag indeholder bestemmelser til gennemførelse af artikel 10 i bilag A.

2.

EU-Udenrigstjenesten kan udveksle EUCI med tredjelande eller internationale organisationer i henhold til bilag A, artikel 10, stk. 1.

For at støtte HR i dennes arbejde med at udføre opgaverne som fastsat i artikel 218 i TEUF skal:

3.

Hvis informationssikkerhedsaftaler indeholder en bestemmelse om, at der skal indgås aftale om tekniske gennemførelsesordninger mellem EU-Udenrigstjenestens direktorat med ansvar for sikkerhed — i samarbejde med Sikkerhedsdirektoratet ved Kommissionens Generaldirektorat for Menneskelige Ressourcer og Sikkerhed og Sikkerhedskontoret ved Generalsekretariatet for Rådet — og den kompetente sikkerhedsmyndighed i det pågældende tredjeland eller den pågældende internationale organisation, skal der i disse ordninger tages højde for den beskyttelsesgrad samt de sikkerhedsbestemmelser, -strukturer og -procedurer, der er indført i det pågældende tredjeland eller den pågældende internationale organisation.

4.

Hvis der er et langsigtet behov for, at EU-Udenrigstjenesten udveksler oplysninger, der i princippet ikke er klassificeret højere end RESTREINT UE/EU RESTRICTED, med et tredjeland eller en international organisation, og hvis det er konstateret, at den pågældende part ikke i tilstrækkelig grad har fået udarbejdet et sikkerhedssystem, der gør det muligt at indgå en informationssikkerhedsaftale, kan HR efter at have opnået en enstemmig positiv udtalelse fra EU-Udenrigstjenestens Sikkerhedsudvalg i henhold til artikel 15, stk. 5, i denne afgørelse indgå en administrativ ordning med de kompetente sikkerhedsmyndigheder i det pågældende tredjeland eller den pågældende internationale organisation.

5.

Der må ikke ske nogen elektronisk udveksling af EUCI med et tredjeland eller en international organisation, medmindre dette udtrykkeligt er omtalt i informationssikkerhedsaftalen eller den administrative ordning.

6.

I henhold til en administrativ ordning om udveksling af klassificerede informationer udpeger EU-Udenrigstjenesten og tredjelandet eller den internationale organisation hver især en registratur som det primære indgangs- og udgangspunkt for udvekslede klassificerede informationer. For EU-Udenrigstjenestens vedkommende vil dette være EU-Udenrigstjenestens centrale registratur.

7.

Administrative ordninger skal som hovedregel have form af en brevveksling.

8.

Vurderingsbesøg, jf. artikel 17 i denne afgørelse, gennemføres efter gensidig aftale med det pågældende tredjeland eller den pågældende internationale organisation, og følgende evalueres:

9.

Der må ikke udveksles EUCI, inden der er gennemført et vurderingsbesøg, og det på baggrund af ækvivalensen for den beskyttelsesgrad, der vil blive givet, er besluttet, i hvilken grad der må udveksles klassificerede informationer mellem parterne.

Hvis der endnu ikke er gennemført et sådant vurderingsbesøg, og HR får kendskab til ekstraordinære eller presserende grunde til at udveksle klassificerede informationer, skal EU-Udenrigstjenesten:

Hvis EU-Udenrigstjenesten ikke kan identificere udstederen, påtager EU-Udenrigstjenestens sikkerhedsmyndighed sig udstederens ansvar efter at have indhentet en enstemmig positiv udtalelse fra EU-Udenrigstjenestens Sikkerhedsudvalg.

10.

Hvis der findes en ramme som omhandlet i bilag A, artikel 10, stk. 1, for udveksling af klassificerede informationer med et tredjeland eller en international organisation, træffer EU-Udenrigstjenestens sikkerhedsmyndighed en afgørelse om at videregive EUCI fra EU-Udenrigstjenesten til et tredjeland eller en international organisation, idet EU-Udenrigstjenestens sikkerhedsmyndighed kan uddelegere en sådan tilladelse til ledende tjenestemænd i EU-Udenrigstjenesten eller andre personer under dens myndighed.

11.

Hvis udstederen af de klassificerede informationer, der skal videregives, herunder udstederne af det kildemateriale, de måtte indeholde, ikke er EU-Udenrigstjenesten, skal EU-Udenrigstjenesten først indhente udstederens skriftlige samtykke for at fastslå, at der ikke er nogen indvendinger mod videregivelse. Hvis EU-Udenrigstjenesten ikke kan identificere udstederen, påtager EU-Udenrigstjenestens sikkerhedsmyndighed sig udstederens ansvar efter at have indhentet en enstemmig positiv udtalelse fra medlemsstaterne som repræsenteret i EU-Udenrigstjenestens Sikkerhedsudvalg.

12.

Hvis der ikke er etableret en ramme i overensstemmelse med bilag A, artikel 10, stk. 1, og når EU's eller en eller flere af medlemsstaternes interesser kræver videregivelse af EUCI af politiske, operationelle eller presserende grunde, kan EUCI undtagelsesvis videregives til et tredjeland eller en international organisation, når der er truffet følgende forholdsregler.

EU-Udenrigstjenestens direktorat med ansvar for sikkerhed skal efter at have sikret, at betingelserne som omhandlet i punkt 11 ovenfor er opfyldt:

13.

Hvis der ikke er etableret en ramme i overensstemmelse med bilag A, artikel 10, stk. 1, skal den pågældende tredjepart skriftligt forpligte sig til at beskytte EUCI hensigtsmæssigt.