EUROPA-KOMMISSIONEN

Bruxelles, den 22.3.2022

COM(2022) 119 final

2022/0084(COD)

Forslag til

EUROPA-PARLAMENTETS OG RÅDETS FORORDNING

om informationssikkerhed i EU's institutioner, organer, kontorer og agenturer

{SWD(2022) 65 final} - {SWD(2022) 66 final}

BEGRUNDELSE

1.BAGGRUND FOR FORSLAGET

•Forslagets begrundelse og formål

Dette forslag er en del af strategien for EU's sikkerhedsunion 1 , der blev vedtaget af Kommissionen den 24. juli 2020, og som fastlægger forpligtelsen til at skabe EU-merværdi for den nationale indsats på området for sikkerhed. En del af denne forpligtelse er initiativet til at strømline den interne retlige ramme for informationssikkerhed i alle EU's institutioner og organer.

Et af hovedpunkterne på den strategiske dagsorden for 2019-2024 vedtaget af Det Europæiske Råd i juni 2019 er at beskytte vores samfund mod den konstante udvikling af trusler rettet mod de informationer, som EU's institutioner og organer håndterer. I sine konklusioner 2 opfordrer Det Europæiske Råd navnlig "EU-institutionerne til sammen med medlemsstaterne at arbejde på foranstaltninger til at styrke EU's modstandsdygtighed og forbedre dets sikkerhedskultur over for cybertrusler og hybride trusler fra lande uden for EU og til bedre at beskytte EU's informations- og kommunikationsnetværk og dets beslutningsprocesser mod alle former for ondsindede aktiviteter".

I samme ånd erklærede Rådet for Almindelige Anliggender i sine konklusioner af december 2019 3 , at EU's institutioner, organer og agenturer med støtte fra medlemsstaterne bør "udvikle og gennemføre et omfattende sæt foranstaltninger for at sikre deres sikkerhed". Dette afspejler det ønske, som Rådets Sikkerhedsudvalg længe har givet udtryk for, nemlig ønsket om at undersøge muligheden for at fastsætte en kerne af sikkerhedsregler, der er fælles for Rådet, Kommissionen og Tjenesten for EU's Optræden Udadtil 4 .

EU's institutioner og organer har i dag enten hver deres egne informationssikkerhedsregler baseret på deres egen forretningsorden eller oprettelsesretsakt, eller slet ingen informationssikkerhedsregler. Det er for det meste tilfældet i visse mindre enheder, som ikke har en formel informationssikkerhedspolitik. 

Som følge af de stadig stigende mængder af følsomme ikkeklassificerede informationer og EU-klassificerede informationer ("EUCI"), som EU's institutioner og organer har brug for at dele med hinanden, og i lyset af den dramatiske udvikling af trusselsbilledet, er den europæiske forvaltning eksponeret for angreb på alle sine aktivitetsområder. De informationer, som EU's institutioner og organer håndterer, er meget interessante for forskellige trusselsaktører og skal derfor beskyttes behørigt. Der er derfor brug for hurtig handling for at øge denne beskyttelse.

Derfor og med henblik på at øge beskyttelsen af de informationer, som den europæiske forvaltning håndterer, har dette initiativ til formål at strømline de forskellige retlige rammer, der findes på området i EU's institutioner og organer, ved at:

•oprette harmoniserede og dækkende informationskategorier samt fælles håndteringsinstrukser for alle EU's institutioner og organer 

•oprette en lean-samarbejdsordning om informationssikkerhed mellem EU's institutioner og organer, der kan fremme en sammenhængende informationssikkerhedskultur på tværs af den europæiske forvaltning

•modernisere informationssikkerhedspolitikkerne for alle klassifikationsgrader/kategorier i alle EU's institutioner og organer under hensyntagen til den digitale omstilling og den udvikling, der er ved at føre til, at telearbejde bliver strukturel praksis.

•Sammenhæng med de gældende regler på samme område

Dette initiativ er i overensstemmelse med en lang række EU-politikker på området for sikkerhed og informationssikkerhed.

Tilbage i 2016 vedtog Europa-Parlamentet og Rådet et direktiv 5 om foranstaltninger, der skal sikre et højt fælles sikkerhedsniveau for net- og informationssystemer i hele Unionen. Dette direktiv var den første EU-dækkende lovgivningsforanstaltning, der har til formål at øge samarbejdet om cybersikkerhed mellem medlemsstaterne. Kommissionen vedtog i december 2020 et forslag om revision af dette instrument, hvorved der indføres tilsynsforanstaltninger rettet mod de nationale myndigheder. EU's forvaltning er dog fortsat ikke omfattet heraf. 

På samme måde og med henblik på at supplere medlemsstaternes indsats på området for sikkerhed er det altafgørende, at EU's institutioner og organer opnår et højt beskyttelsesniveau for deres informationer og deres tilhørende informations- og kommunikationssystemer med henblik på at værne om informationssikkerheden.

I juli 2020 vedtog Kommissionen strategien for EU's sikkerhedsunion 6 , som omhandler en omfattende EU-forpligtelse til at supplere medlemsstaternes indsats på alle områder for sikkerhed. Denne strategi dækker perioden 2020-2025 og omfatter fire primære indsatsområder: et fremtidssikret sikkerhedsmiljø, håndtering af foranderlige trusler, beskyttelse af europæerne mod terrorisme og organiseret kriminalitet og et stærkt europæisk sikkerhedsøkosystem. Mange af de emner, der er omfattet af disse indsatsområder, omhandler informationssikkerhed, cybersikkerhed, samarbejde og udveksling af informationer samt kritisk infrastruktur.

I overensstemmelse med strategien for EU's sikkerhedsunion foreslår Kommissionen at fastsætte et sæt minimumsregler for informationssikkerhed på tværs af alle EU's institutioner og organer, som vil medføre obligatoriske og høje fælles standarder for sikker udveksling af informationer. Dette initiativ afspejler EU-institutionernes og -organernes forsæt om at indføre samme ambitionsniveau for sikkerhed i den europæiske forvaltning, som det kræves af medlemsstaterne.

Den 16. december 2020 præsenterede Kommissionen og den højtstående repræsentant for udenrigsanliggender og sikkerhedspolitik den nye strategi for cybersikkerhed 7 . I strategien fastlægges prioriteter og nøgleaktioner til opbygning af Europas modstandsdygtighed, autonomi, lederskab og operationel kapacitet i lyset af voksende og komplekse trusler mod dens netværks- og informationssystemer, og med henblik på at fremskynde et globalt og åbent cyberspace samt internationale partnerskaber deri. Det er ligeså vigtigt, at EU's institutioner og organer bidrager til opfyldelsen af disse prioriteter ved at fastsætte ækvivalente krav på området for såvel informationssikkerhed som cybersikkerhed. 

Sammen med forslaget om en forordning om foranstaltninger til sikring af et højt fælles cybersikkerhedsniveau i EU's institutioner, organer, kontorer og agenturer har nærværende forslag til formål at supplere strategien for EU's sikkerhedsunion med målrettede krav, der gælder særligt for den europæiske forvaltning. I betragtning af de indbyrdes forbindelser mellem informationssikkerhed og cybersikkerhed bør der sikres en sammenhængende tilgang til beskyttelsen af ikkeklassificerede informationer i disse to forslag.

•Sammenhæng med Unionens politik på andre områder

Dette initiativ tager også højde for andre EU-politikker, der er relevante for informationssikkerhed. 

Ved forordning (EU) 2018/1725 8 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i Unionens institutioner, organer, kontorer og agenturer og om fri udveksling af sådanne oplysninger, der gælder for Den Europæiske Unions og Det Europæiske Atomenergifællesskabs ("Euratom") forvaltninger, fastsættes der regler for databeskyttelse. Det bør i den forbindelse også nævnes, at EU's lovgivere har vedtaget specifikke regler for beskyttelse af personoplysninger, der gælder for visse EU-institutioner og -organer.

For så vidt angår åbenhed bygger dette forslag på principperne i forordning (EF) nr. 1049/2001 9 om aktindsigt i Europa-Parlamentets, Rådets og Kommissionens dokumenter, under hensyntagen til andre relevante regler.

2.RETSGRUNDLAG, NÆRHEDSPRINCIPPET OG PROPORTIONALITETSPRINCIPPET

•Retsgrundlag

I lyset af formålet med og indholdet af dette forslag er det mest hensigtsmæssige retsgrundlag artikel 298 i traktaten om Den Europæiske Unions funktionsmåde ("TEUF") og artikel 106A i traktaten om oprettelse af Det Europæiske Atomenergifællesskab. 

Artikel 298 i TEUF blev tilføjet ved Lissabontraktaten og gør det muligt for lovgiverne at fastsætte bestemmelser med henblik på oprettelsen af en effektiv og uafhængig forvaltning, der støtter Unionens institutioner, organer, kontorer og agenturer under udførelsen af deres opgaver.  

En effektiv og uafhængig forvaltning er afhængig af, at dens informationer er sikre. Med henblik på udførelsen af deres opgaver har EU's institutioner og organer brug for et sikkert miljø til de informationer, de håndterer og opbevarer på daglig basis. Derudover vil etableringen af et fælles referencescenarie for standarder, der er obligatorisk for alle, garantere et højt sikkerhedsniveau, reducere risikoen for svage led ved at støtte interoperabiliteten mellem EU's institutioner og organer og udnytte synergier og dermed øge forvaltningens modstandsdygtighed over for foranderlige trusler.  

Med det overordnede formål at opnå et højt fælles sikkerhedsniveau for de EUCI og ikkeklassificerede informationer, som EU's institutioner og organer håndterer og opbevarer, gør dette forslag de europæiske forvaltning i stand til bedre at beskytte mod ekstern indblanding og spionagevirksomhed. 

Artikel 298 i TEUF gør det muligt for EU at fastsætte fælles regler for hele den europæiske forvaltning for at sikre, at alle EU's institutioner og organer behandler EUCI og ikkeklassificerede informationer ens. Således fastsættes der ved denne forordning regler, der gælder for forvaltningen, men som indirekte kan medføre forpligtelser, der udelukkende gælder for enkeltpersoner (ikke inklusive kommissærer, repræsentanter for medlemsstaterne, der handler i Rådet, medlemmer af Europa-Parlamentet, dommere ved EU's domstole eller medlemmer af Den Europæiske Revisionsret), som udfører opgaver på vegne af denne forvaltning eller på kontraktbasis.

I overensstemmelse med artikel 298 i TEUF fastsætter Europa-Parlamentet og Rådet ved forordning efter den almindelige lovgivningsprocedure bestemmelser med henblik herpå. 

Der er brug for et yderligere retsgrundlag til dette forslag, eftersom det også omfatter de informationer, der er relateret til visse af Det Europæiske Atomenergifællesskabs aktiviteter. Sådanne informationer er ikke hemmelig Euratomviden, men de behandles af EU's institutioner og organer i henhold til de almindelige bestemmelser om EUCI.  

Dette yderligere retsgrundlag er artikel 106A i traktaten om oprettelse af Det Europæiske Atomenergifællesskab, hvori det fastsættes at artikel 298 i TEUF også finder anvendelse på førnævnte Euratomaktiviteter.  

•Nærhedsprincippet (for områder, der ikke er omfattet af enekompetence)

I overensstemmelse med nærhedsprincippet, jf. artikel 5, stk. 3, i traktaten om Den Europæiske Union, skal der kun handles på EU-niveau, hvis de forventede mål ikke i tilstrækkelig grad kan opfyldes af medlemsstaterne alene og derfor bedre kan gennemføres på EU-plan på grund af omfanget eller virkningerne af den foreslåede handling. 

Eftersom det kun er EU, der kan vedtage regler om EUCI og ikkeklassificerede informationer, der håndteres og opbevares af EU's institutioner og organer, finder nærhedsprincippet ikke anvendelse.

•Proportionalitetsprincippet

Etableringen af et fælles referencescenarie for informationssikkerhed for alle EU's institutioner og organer er nødvendig for at kunne bidrage til en uafhængig og effektiv forvaltning.

I overensstemmelse med proportionalitetsprincippet, jf. artikel 5, stk. 4, i traktaten om Den Europæiske Union, er bestemmelserne i forordningen ikke for præskriptive og giver mulighed for en specifik indsats i overensstemmelse med sikkerhedsmodenhedsniveauet i hver EU-institution og -organ.

Endelig har løsningen begrænset virkning for det enkelte menneskes grundlæggende rettigheder. Forslaget går derfor ikke videre end nødvendigt for at løse problemet, dvs. at EU's institutioner og organer ikke har et fælles set informationssikkerhedsregler.

•Valg af retsakt

Det vurderes, at en forordning på grundlag af artikel 298 i TEUF er det mest hensigtsmæssige retlige instrument.

Dette begrundes i overvægten af elementer, der kræver en ensartet anvendelse, som ikke efterlader et gennemførelsesmæssigt spillerum for EU's institutioner og organer, og som skaber en fuldstændig horisontal ramme.

3.RESULTATER AF EFTERFØLGENDE EVALUERINGER, HØRINGER AF INTERESSEREDE PARTER OG KONSEKVENSANALYSER

•Efterfølgende evalueringer/kvalitetskontrol af gældende lovgivning

Ikke relevant.

•Høringer af interesserede parter

Kommissionen har gennemført en bred høring af nøgleinteressenter om flere forskellige aspekter relateret til informationssikkerhedsregler i EU's institutioner og organer. Det overordnede formål med høringsaktiviteterne var at indsamle relevant input til udarbejdelsen af et lovgivningsinitiativ om fælles informationssikkerhedsregler for alle EU's institutioner og organer. Der blev indsamlet input om:

•problemer i forbindelse med de gældende rammer for informationssikkerhed i EU's institutioner og organer, som interessenterne mener bør løses med dette initiativ

•initiativets relevans, effektivitet og merværdi

•de forventede virkninger af initiativet og mulige andre konsekvenser for interessenterne.

I forbindelse med udarbejdelsen af forslaget har Kommissionen hørt følgende interessentgrupper:

1.EU's institutioner, organer, kontorer og agenturer 

2.de nationale sikkerhedsmyndigheder i medlemsstaterne

3.forskningseksperter fra det Fælles forskningscenter.

I lyset af initiativets særlige natur, dvs. at det udelukkende finder anvendelse på EU's institutioner og organer og kun har lille virkning for europæiske borgere og virksomheder, har Kommissionens tjenestegrene valgt at prioritere indsamlingen af synspunkter fra relevante interessentgrupper. Derfor er der ikke gennemført en offentlig høring specifikt med henblik på dette lovgivningsinitiativ.

I løbet af høringsprocessen har Kommissionens tjenestegrene anvendt følgende metoder og former for høring:

1.En mulighed for alle interesserede parter til at give feedback på den indledende konsekvensanalyse via Kommissionens platform "Deltag i debatten".

2.Et målrettet spørgeskema adresseret til informationssikkerhedseksperter i EU's institutioner og organer via onlineportalen EUSurvey.

3.Et målrettet spørgeskema adresseret til medlemsstaternes nationale sikkerhedsmyndigheder via onlineportalen EUSurvey.

4.En anmodning om en skræddersyet risikovurdering af de primære informationssikkerhedsaktiver.

5.Utallige møder og udvekslinger med modparter i EU's institutioner, organer, kontorer og agenturer samt medlemsstaternes nationale sikkerhedsmyndigheder.

Kommissionen fremhæver følgende hovedinput fra høringsaktiviteterne:

•Fragmenteringen af de relevante retlige rammer de forskellige EU-institutioner og -organer imellem skaber betydeligt dobbeltarbejde i forbindelse med udarbejdelsen og vedligeholdelsen af interne regler samt ikkeinteroperable praksisser for håndtering af informationer. Over for medlemsstaterne øger denne mangfoldighed af regler risikoen for misforståelser, fejlfortolkning og manglende overholdelse.

•Etableringen af et referencescenarie for informationssikkerhed for alle EU's institutioner og organer vil skabe et økosystem med standardiserede sikkerhedsregler og gennemførte bedste praksisser, men der bør tages højde for mangfoldigheden og de forskellige forretningsmiljøer i hver EU-institution og -organ, og lokale løsninger bør være tilladt.

•Initiativet skal respektere hver EU-institutions og -organs autonomi og forskellige sikkerhedsmodenhedsniveauer, og hver EU-institution og -organ skal fortsat være fuldt ansvarlig for organiseringen af enhedens informationssikkerhed.

•Indhentning og brug af ekspertbistand

Kommissionen har anvendt sine egne ressourcer til at gennemføre høringerne af interessenter. Sikkerhedsdirektoratet i GD HR har udført det relaterede arbejde med undersøgelser, videokonferencer og andre workshopper. Denne opgave omfattede både udvælgelsen af deltagere og organiseringen af arrangementer samt behandlingen af de modtagne input.

Det Fælles Forskningscenter har udarbejdet risikovurderingen af de primære informationssikkerhedsaktiver, der er anvendt til udarbejdelsen af konsekvensanalysen.

•Konsekvensanalyse

Dette initiativ er udelukkende rettet mod EU's institutioner og organer og har begrænset virkning for medlemsstaterne og enkeltpersoner. Det har derfor ikke været nødvendigt at udarbejde en grundig konsekvensanalyse, eftersom der ikke var klart identificerbare eller væsentlige virkninger for borgere og virksomheder. Der blev offentliggjort en omfattende køreplan på webstedet Europa og indsamlet feedback fra de relevante interessenter.

•Målrettet regulering og forenkling

Ikke relevant.

•Grundlæggende rettigheder

EU har forpligtet sig til at sikre til et højt niveau af beskyttelse af de grundlæggende rettigheder. Dette initiativ sikrer fuld overholdelse af de grundlæggende rettigheder, jf. Den Europæiske Unions charter om grundlæggende rettigheder 10 :

•Ret til god forvaltning 11

Ved at øge sikkerheden for de informationer, de håndterer i forbindelse med de europæiske borgeres anliggender, bidrager EU-institutionerne og -organerne til overholdelsen af princippet om god forvaltning.

•Beskyttelse af personoplysninger 12  

Al behandling af personoplysninger inden for rammerne af denne forordning vil blive udført i betroede miljøer og under fuld respekt for Europa-Parlamentets og Rådets forordning (EU) 2018/1725.

•Ret til aktindsigt 13

Offentlig adgang til EUCI og ikkeklassificerede informationer vil stadig være fuldt omfattet af Europa-Parlamentets og Rådets forordning (EF) nr. 1049/2001.

•Intellektuel ejendomsret 14

I forbindelse med håndtering og opbevaring af ikkeklassificerede informationer og EUCI beskytter EU's institutioner og organer den intellektuelle ejendomsret i overensstemmelse med Europa-Parlamentets og Rådets direktiv 2001/29/EF 15 .

•Ytrings- og informationsfrihed 16

Alle har frihed til at modtage og dele informationer og idéer uden indblanding fra de offentlige myndigheder, men dette må ikke forhindre EU i at fastsætte betingelser for adgang, håndtering og opbevaring af visse typer information på grundlag af deres fortrolighedsgrad.

Udøvelsen af disse friheder kan være omfattet af betingelser og begrænsninger, der er fastsat i lovgivningen og nødvendige i et demokratisk samfund for at forhindre videregivelse af informationer, der er modtaget i fortrolighed, og som er af betydning for EU's sikkerhed.

4.VIRKNINGER FOR BUDGETTET

Forslaget kræver tildeling af en AD-stilling og en AST-stilling til koordinationsgruppens permanente sekretariat, der stilles til rådighed af Kommissionen i Sikkerhedsdirektoratet i Generaldirektoratet for Menneskelige Ressourcer og Sikkerhed.

Hvad angår EU's institutioner og organer forventes der omkostningsbesparelser i forbindelse med delte og samarbejdsopgaver og i forbindelse med afbødningen af potentielle økonomiske tab som følge af sikkerhedshændelser som et resultat af forbedringen af informationssikkerheden. På den anden side kan den finansielle indsats, der er nødvendig for gennemførelsen af den nye lovgivning, dækkes som en del af de eksisterende programmer til forbedring af informationssikkerheden i hver EU-institution og -organ.

5.ANDRE FORHOLD

•Planer for gennemførelsen og foranstaltninger til overvågning, evaluering og rapportering

Forslaget indebærer at Kommissionen tre gange om året rapporterer til Europa-Parlamentet og Rådet om gennemførelsen af denne forordning, herunder om hvordan forvaltningen, som oprettet ved denne forordning, fungerer.

Desuden udarbejder Kommissionen hvert femte år en evaluering af denne forordning med henblik på at vurdere det faktisk udbytte og på grundlag deraf vurdere, om det er nødvendigt at foretage ændringer af lovgivningen.

•Nærmere redegørelse for de enkelte bestemmelser i forslaget

Dette forslag er bygget op om en række krav til håndtering og opbevaring af ikkeklassificerede informationer og EUCI, som er den primære genstand for initiativet, og idet den øgede beskyttelse heraf danner grundlag for formålet med initiativet.

Genstand og anvendelsesområde (artikel 1 og artikel 2)

Denne forordning har til formål at fastsætte et sæt minimumsregler for informationssikkerhed, der gælder for alle EU's institutioner og organer. 

Den finder anvendelse på alle informationer, der håndteres og opbevares af EU's institutioner og organer, inklusive informationer om Det Europæiske Atomenergifællesskabs aktiviteter, men ikke på hemmelig Euratomviden. Såvel ikkeklassificerede informationer som EUCI er omfattet af denne forordning.

Definitioner og generelle principper (artikel 3 til 5)

Definitionerne i artikel 3 er baseret på de gældende regler om informationssikkerhed som vedtaget i de enkelte EU-institutioner og -organer.  

Ud over de almindelige principper for EU's lovgivning (gennemsigtighed, forholdsmæssighed, effektivitet og ansvarlighed) fastlægges ved denne forordning de vigtigste retningslinjer, såsom en separat risikostyringsproces for informationssikkerhed, der skal gennemføres af hver EU-institution og -organ, samt en vurdering af deres informationer med henblik på korrekt kategorisering.

Forvaltning og tilrettelæggelse af sikkerheden (artikel 6 til 8)

Alle EU's institutioner og organer skal samarbejde i en interinstitutionel koordinationsgruppe om informationssikkerhed, der træffer afgørelse ved konsensus og i alle EU-institutioners og ‑organers fælles interesse. 

Koordinationsgruppen samler sikkerhedsmyndighederne i alle EU's institutioner og organer og udarbejder vejledende dokumenter om gennemførelsen af denne forordning. Den samarbejder med de nationale sikkerhedsmyndigheder i medlemsstaterne som samlet i et informationssikkerhedsudvalg.

Der oprettes fem undergrupper bestående af eksperter, der repræsenterer forskellige EU-institutioner og -organer, med henblik på strømlining af procedurer og andre praktiske aspekter vedrørende informationssikkerhed. 

Hver EU-institution og -organ er forpligtet til at udpege en sikkerhedsmyndighed, der er ansvarlig for at fastlægge de interne politikker om informationssikkerhed og for at gennemføre dem. Sikkerhedsmyndigheden opretter specifikke funktioner såsom en informationssikringsmyndighed, en operativ informationssikringsmyndighed, en sikkerhedsakkrediteringsmyndighed, en TEMPEST-myndighed, en kryptogodkendelsesmyndighed og en kryptodistributionsmyndighed, som af effektivitets- eller ressourcehensyn kan uddelegeres til en anden EU-institution eller -organ.

Informationssikring og kommunikations- og informationssystemer (artikel 9 til 11)

Ved forordningen oprettes en undergruppe om informationssikkerhed, der har til formål at øge sammenhængen på tværs af EU's institutioner og organer for så vidt angår informationssikkerhedsregler og referencescenariet for cybersikkerhed som fastsat i forordningen om foranstaltninger til sikring af et højt fælles cybersikkerhedsniveau i EU's institutioner, organer, kontorer og agenturer.

EU's institutioner og organer skal overholde principperne i disse artikler og vedtage egne regler om specifikke sikkerhedsforanstaltninger, der er tilpasset deres eget sikkerhedsmiljø.

Ikkeklassificerede informationer (artikel 12 til 17 og bilag I)

Forordningen fastsætter tre kategorier af ikkeklassificerede informationer: informationer til offentlig brug, normale informationer og følsomme ikkeklassificerede informationer. Alle kategorier fastsættes, og der formuleres mærkninger og håndteringsinstrukser for beskyttelsen af sådanne informationer. 

Med henblik på at koordinere arbejdet om ækvivalens mellem bestemte kategorier fastsat af visse EU-institutioner og -organer og de fælles kategorier i denne forordning oprettes der ved forslaget en undergruppe om ikkeklassificerede informationer.

EUCI (artikel 18 til 58 og bilag II til VI)

Dette kapitel er den mest omfattende del af forslaget fordelt på syv afsnit som følger: generelle bestemmelser, personelsikkerhed, fysisk sikkerhed, forvaltning af EUCI, beskyttelse i kommunikations- og informationssystemer, industrisikkerhed samt deling af EUCI og udveksling af klassificerede informationer. 

I afsnittet om generelle bestemmelser fastsættes der fire grader af EUCI, dvs. TRES SECRET UE/EU TOP SECRET, SECRET UE/EU SECRET, CONFIDENTIEL UE/EU CONFIDENTIAL og RESTREINT UE/EU RESTRICTED, og EU's institutioner og organer forpligtes til at træffe de nødvendige sikkerhedsforanstaltninger i overensstemmelse med resultaterne af en risikostyringsproces for informationssikkerhed.

Hver af de resterende afsnit omhandler standarder for beskyttelse af EUCI på hver deres område. De nærmere detaljer vedrørende denne beskyttelse af EUCI er fastsat i bilag II til V. Bilag VI indeholder ækvivalenstabellen mellem EUCI og sikkerhedsklassificeringen i medlemsstaterne og Det Europæiske Atomenergifællesskab.

Med det formål at strømline de relevante processer på området og undgå dobbeltarbejde oprettes der ved denne forordning undergrupper om: informationssikkerhed, ikkeklassificerede informationer, fysisk sikkerhed, akkreditering af kommunikations- og informationssystemer, der håndterer og opbevarer af EUCI, og deling af EUCI og udveksling af klassificerede informationer.

Afsluttende bestemmelser (artikel 59 til 62)

De afsluttende bestemmelser sikrer overgangen fra de gældende regler og procedurer til den nye retlige ramme i denne forordning. De vedrører de interne regler om informationssikkerhed, der i dag gælder i EU's institutioner og organer, anerkendelsen af vurderingsbesøg gennemført inden denne forordnings anvendelse, behandlingen af tidligere indgåede administrative ordninger og fortsættelsen af bestemte sikkerhedsrammer gældende for tilskudsaftaler.

Denne forordning finder anvendelse to år efter datoen for dens ikrafttrædelse.

2022/0084 (COD)

Forslag til

EUROPA-PARLAMENTETS OG RÅDETS FORORDNING

om informationssikkerhed i EU's institutioner, organer, kontorer og agenturer

EUROPA-PARLAMENTET OG RÅDET FOR DEN EUROPÆISKE UNION HAR —

under henvisning til traktaten om Den Europæiske Unions funktionsmåde, særlig artikel 298,

under henvisning til traktaten om oprettelse af Det Europæiske Atomenergifællesskab, særlig artikel 106A,

under henvisning til forslag fra Europa-Kommissionen,

efter fremsendelse af udkast til lovgivningsmæssig retsakt til de nationale parlamenter, 

efter den almindelige lovgivningsprocedure, og

ud fra følgende betragtninger:

(1)EU's institutioner og organer har i dag hver deres egne informationssikkerhedsregler baseret på deres egen forretningsorden eller oprettelsesretsakt, idet nogle enheder dog ikke har fastsat regler. Det betyder, at hver EU-institution og -organ hver især lægger betydelige kræfter i at vedtage forskellige tilgange, hvilket fører til en situation, hvor udvekslingen af informationer ikke altid er pålidelig. Uden en fælles tilgang kan der ikke udrulles fælles redskaber baseret på et aftalt sæt regler, der afspejler de forskellige sikkerhedsbehov vedrørende de informationer, der skal beskyttes.

(2)Selv om der er gjort fremskridt hen imod mere konsekvente regler om beskyttelse af EU-klassificerede informationer ("EUCI") og ikkeklassificerede informationer, er de relevante systemers interoperabilitet fortsat begrænset, og det forhindrer gnidningsløs overførsel af informationer mellem de forskellige EU-institutioner og -organer. Der bør derfor arbejdes yderligere på at muliggøre en interinstitutionel tilgang til deling af EUCI og følsomme ikkeklassificerede oplysninger, som indebærer fælles kategorier af informationer og fælles hovedprincipper for håndtering. Der bør også udarbejdes et referencescenarie med henblik på at forenkle procedurerne for deling af EUCI og følsomme ikkeklassificerede informationer mellem EU's institutioner og organer og med medlemsstaterne.

(3)Der bør derfor fastsættes relevante regler, der sikrer et fælles informationssikkerhedsniveau i alle EU's institutioner og organer. Tilsammen bør disse udgøre en omfattende og sammenhængende generel ramme for beskyttelse af EUCI og ikkeklassificerede informationer og sikre, at der anvendes ækvivalente grundlæggende principper og minimumstandarder. 

(4)Den nylige pandemi har medført en væsentlig ændring i arbejdsmetoderne, idet fjernværktøjer til kommunikation er ved at blive hovedreglen. Mange procedurer, der stadig var delvist papirbaserede, blev hurtigt tilpasset med henblik på at muliggøre elektronisk behandling og udveksling af informationer. Denne udvikling kræver ændringer i forbindelse med håndteringen og beskyttelsen af informationer. Denne forordning tager højde for disse nye arbejdsmetoder. 

(5)Denne forordning bidrager til at sikre, at EU's institutioner og organer under udførelsen af deres opgaver støtter sig til en effektiv og uafhængig forvaltning, idet der fastsættes et fælles minimumsniveau for beskyttelse af EUCI og ikkeklassificerede informationer. Samtidig bevarer EU's institutioner og organer deres autonomi, idet de selv fastsætter, hvordan de gennemfører bestemmelserne i denne forordning under hensyntagen til deres egne sikkerhedsbehov. Denne forordning forhindrer under ingen omstændigheder EU's institutioner og organer i at udføre deres opgaver, som tildelt ved EU's lovgivning, og griber ikke ind i deres institutionelle autonomi.

(6)Denne forordning berører ikke forordning nr. 3/1958 17 , forordning nr. 31 (EØF), nr. 11 (EURATOM), om vedtægten for tjenestemænd og om ansættelsesvilkårene for de øvrige ansatte i Det Europæiske Økonomiske Fællesskab og Det Europæiske Atomenergifællesskab 18 , Europa-Parlamentets og Rådets forordning (EF) nr. 1049/2001 19 , Europa-Parlamentets og Rådets forordning (EU) 2018/1725 20 , Rådets forordning (EØF, Euratom) nr. 354/83 21 , Europa-Parlamentets og Rådets forordning (EU, Euratom) 2018/1046 22 , Europa-Parlamentets og Rådets forordning (EU) 2021/697 23 eller Europa-Parlamentets og Rådets forordning (EU) [...] 24 om foranstaltninger til sikring af et højt fælles cybersikkerhedsniveau i EU's institutioner, organer, kontorer og agenturer.

(7)For at bevare den særlige status, som Det Europæiske Atomenergifællesskabs aktiviteter har, jf. Rådet for Det Europæiske Atomenergifællesskabs forordning nr. 3 25 , bør denne forordning ikke finde anvendelse på hemmelig Euratomviden. Alle informationer, der vedrører Euratomaktiviteter, som ikke er omfattet af forordning nr. 3, bør dog være omfattet af nærværende forordning.

(8)Med henblik på at oprette en formel struktur for samarbejde mellem EU's institutioner og organer på området for informationssikkerhed er det nødvendigt at oprette en interinstitutionel koordinationsgruppe om informationssikkerhed ("koordinationsgruppen"), hvor alle EU-institutionernes og -organernes sikkerhedsmyndigheder er repræsenteret. Koordinationsgruppen bør have til opgave at øge sammenhængen mellem politikkerne på området for informationssikkerhed og bidrage til harmoniseringen af informationssikkerhedsprocedurer og værktøjer på tværs af EU's institutioner og organer, men vil ikke have beslutningskompetence.

(9)Det er nødvendigt, at koordinationsgruppens arbejde understøttes af eksperter på forskellige områder for informationssikkerhed: kategorisering og mærkning, kommunikations- og informationssystemer, akkreditering, fysisk sikkerhed og deling af EUCI og udveksling af klassificerede informationer. Med henblik på at undgå dobbeltarbejde på tværs af EU's institutioner og organer bør der derfor oprettes tematiske undergrupper. Koordinationsgruppen bør desuden, hvis det er nødvendigt, kunne oprette andre undergrupper med henblik på bestemte opgaver.

(10)Koordinationsgruppen bør arbejde tæt sammen med de nationale sikkerhedsmyndigheder i medlemsstaterne med henblik på at forbedre informationssikkerheden i EU. Der bør derfor oprettes et informationssikkerhedsudvalg for medlemsstaterne, der skal rådgive koordinationsgruppen.

(11)Mens de fælles enheder, der repræsenterer alle EU's institutioner og organer, oprettes på grundlag af samarbejdsprincippet, bør den enkelte EU-institution og -organ fortsat være have det fulde ansvar for informationssikkerheden i deres enhed. Hver EU-institution og -organ bør have en sikkerhedsmyndighed og om nødvendigt andre myndigheder, som har bestemte ansvarsområder for så vidt angår informationssikkerhed.

(12)Princippet om risikostyring i forbindelse med informationssikkerhed bør være omdrejningspunktet for den politik, som hver EU-institution og -organ udarbejder på området. Samtidig med at minimumskravene i denne forordning skal opfyldes, bør hver EU-institution og -organ vedtage specifikke sikkerhedsforanstaltninger til beskyttelse af informationer i overensstemmelse med resultaterne af en intern risikovurdering. Ligeledes bør de tekniske midler til beskyttelse af informationer tilpasses til den specifikke situation i hver EU-institution og -organ.

(13)I lyset af de mange forskellige kategorier af ikkeklassificerede informationer, som EU's institutioner og -organer har fastlagt på grundlag af deres egne informationssikkerhedsregler, og for at undgå forsinkelser i forbindelse med gennemførelsen af denne forordning bør EU's institutioner og organer kunne beholde deres eget klassifikationssystem til intern brug eller til udveksling af informationer med deres specifikke modparter i andre EU-institutioner og -organer eller i medlemsstaterne.  

(14)Med henblik på tilpasning til de nye telearbejdsmetoder bør de netværk, der anvendes til forbindelse til EU-institutionens eller -organets fjernadgangstjenester, være beskyttet af passende sikkerhedsforanstaltninger.

(15)Eftersom EU's institutioner og organer ofte bruger kontrahenter og udlicitering, er det vigtigt at fastsætte fælles bestemmelser om kontrahenters ansatte, der udfører opgaver vedrørende informationssikkerhed.

(16)I dag er de materielle regler vedrørende adgang til EUCI i de interne regler i forskellige EU-institutioner og -organer allerede strømlinet, men der er stadig store forskelle for så vidt angår betegnelser og obligatoriske procedurer. Dette er en byrde for medlemsstaternes nationale sikkerhedsmyndigheder, der er nødt til at tilpasse sig forskellige krav. Det er derfor nødvendigt at oprette en fælles sprogbrug og fælles procedurer på området for personelsikkerhed og derved forenkle samarbejdet med medlemsstaternes nationale sikkerhedsmyndigheder og begrænse risikoen for kompromittering af EUCI.

(17)Som følge af forskellene med hensyn til ressourcer blandt EU's institutioner og organer og med henblik på at strømline deres relevante procedurer og praksisser kan sikkerhedsgodkendelsesopgaverne overdrages til Kommissionen med henblik på at muliggøre fortsættelsen af en mangeårig praksis på sikkerhedsgodkendelsesområdet og bidrage til centraliseringen af de opgaver, der tildeles hver sikkerhedsmyndighed.

(18)Beskyttelsen af EUCI sikres også med tekniske og organisatoriske foranstaltninger, der anvendes på de af EU-institutionernes eller -organernes lokaliteter, bygninger, lokaler, kontorer eller faciliteter, hvor der drøftes, håndteres og opbevares EUCI. Ved denne forordning indføres bestemmelser om gennemførelse af en risikostyringsproces for informationssikkerhed for så vidt angår fysisk sikkerhed, som vil gøre det muligt for EU's institutioner og organer at vælge de rette sikkerhedsforanstaltninger til deres sites.

(19)Alle EU- institutioner og -organer, som håndterer og opbevarer EUCI, bør oprette fysisk beskyttede områder på deres sites med henblik på at sikre samme beskyttelsesniveau for de relevante klassifikationsgrader for EUCI, der håndteres og opbevares der. Disse områder bør udpeges som administrative områder og sikrede områder og respektere fælles minimumsstandarder for beskyttelse af EUCI.

(20)Udstederkontrol er et vigtigt princip i forbindelse med forvaltning af EUCI og bør derfor klart fastsættes og formuleres og udbygges. I den forbindelse indebærer udarbejdelsen af EUCI et ansvar for udstederen, som dækker hele livscyklussen for det relevante EUCI-dokument.

(21)EU's institutioner og organer har traditionelt udviklet deres egne kommunikations- og informationssystemer selvstændigt, men uden tilstrækkelig hensyntagen til interoperabiliteten på tværs af alle EU's institutioner og organer. Det er derfor nødvendigt at fastsætte minimumssikkerhedskrav for kommunikations- og informationssystemer ("CIS'er"), der håndterer og opbevarer såvel EUCI som ikkeklassificerede informationer, med henblik på at garantere en gnidningsløs udveksling af informationer med de relevante interessenter. 

(22)Med det formål at opnå en fælles standard for akkreditering af CIS'er, der håndterer og opbevarer EUCI, bør EU's institutioner og organer samarbejde herom i en gruppe, der oprettes til dette formål. Det anbefales, at de alle anvender den nye standard med henblik på at bidrage til et generelt beskyttelsesniveau for EUCI. For så vidt angår organisatorisk autonomi vil beslutningen dog stadig ligge hos den kompetente myndighed i hver enkelt EU-institution eller -organ.

(23)Alle EU's institutioner og organer bør følge samme procedure og anvende de samme foranstaltninger i forbindelse med tildeling og gennemførelse af klassificerede kontrakter og tilskudsaftaler. Det er derfor nødvendigt klart at formulere såvel de obligatoriske som de valgfrie elementer i en klassificeret kontrakt eller tilskudsaftale. Foranstaltningerne til beskyttelse af EUCI i forbindelse med klassificerede kontrakter og tilskudsaftaler bør imidlertid tage højde for de regler, som EU-institutionerne og ‑organerne allerede separat har udarbejdet på området i samarbejde med medlemsstaterne.

(24)Det tætte samarbejde mellem EU's institutioner og organer og den mangfoldighed af synergier, der opstår mellem dem, medfører deling af en stor mængde informationer. Af hensyn til klassificerede informationers sikkerhed bør en EU-institutions eller ‑organs troværdighed vurderes, inden de håndterer eller opbevarer en bestemt grad af EUCI. 

(25)Derudover bør delingen af EUCI mellem EU's institutioner og organer og udvekslingen af klassificerede informationer med internationale organisationer og tredjelande også reguleres ved hjælp af egnede sikkerhedsforanstaltninger til beskyttelse af de pågældende informationer. Hvis der indgås aftaler om informationssikkerhed, bør bestemmelserne i traktatens artikel 218 anvendes. 

(26)Aftaler om informationssikkerhed har til formål at sikre den overordnede retlige ramme for udvekslingen af EUCI med tredjelande og internationale organisationer, men det er også nødvendigt at give EU's institutioner og organer mulighed for at indgå en administrativ ordning med en bestemt modpart i et tredjeland eller en international organisation med henblik på udveksling af EUCI. 

(27)Ved denne forordning fastlægges en ramme, der er fælles for alle EU's institutioner og organer. Med henblik på at undgå, at EU's institutioner og organer pålægges en uforholdsmæssig stor økonomisk og administrativ byrde i forbindelse med tilpasningen af deres egne interne sikkerhedsregler til bestemmelserne i denne forordning, bør denne forordning træde i kraft to år efter dens ikrafttrædelse.

(28)I overensstemmelse med punkt 22 og 23 i den interinstitutionelle aftale af 13. april 2016 om bedre lovgivning 26 bør Kommissionen foretage en evaluering af denne forordning med henblik på at vurdere den faktiske virkning af forordningen og behovet for yderligere tiltag. Kommissionen bør senest tre år efter datoen for anvendelsen af forordningen forelægge Europa-Parlamentet og Rådet en rapport om gennemførelsen af den.

(29)Den Europæiske Tilsynsførende for Databeskyttelse blev hørt i overensstemmelse med artikel 42 i Europa-Parlamentets og Rådets forordning (EU) 2018/1725 27 og afgav udtalelse den ... —

VEDTAGET DENNE FORORDNING:

Kapitel 1
Generelle bestemmelser

Artikel 1

Genstand 

1.Ved denne forordning fastsættes regler om informationssikkerhed i alle EU's institutioner og organer.

Artikel 2

Anvendelsesområde

1.Denne forordning finder anvendelse på alle informationer, der håndteres og opbevares af EU's institutioner og organer, inklusive informationer om Det Europæiske Atomenergifællesskabs aktiviteter, dog ikke på hemmelig Euratomviden.

2.Denne forordning finder anvendelse på følgende fortrolighedsgrader for informationer:

a)tre grader af ikkeklassificerede informationer: til offentlig brug, normale og følsomme ikkeklassificerede informationer

b)fire grader af EU-klassificerede informationer: RESTREINT UE/EU RESTRICTED, CONFIDENTIEL UE/EU CONFIDENTIAL, SECRET UE/EU SECRET og TRES SECRET UE/EU TOP SECRET.

3.Disse grader er baseret på den skade, som uautoriseret videregivelse kan forvolde på berettigede offentlige og private interesser, inklusive Den Europæiske Unions, EU-institutionernes eller -organernes, medlemsstaternes eller andre interessenters interesser, med henblik på anvendelsen af passende beskyttelsesforanstaltninger.

Artikel 3

Definitioner

I denne forordning forstås ved:

a)"informationer": data i mundtlig, visuel, elektronisk, magnetisk eller fysisk form, eller i form af materiale, udstyr eller teknologi, inklusive reproduktioner, oversættelser og materiale, der er under udarbejdelse

b)"informationssikkerhed": sikring af informationers autenticitet, tilgængelighed, fortrolighed, integritet og uafviselighed

c)"håndtering" af informationer: alle handlinger, som informationer kan underkastes i hele deres livscyklus; dette omfatter udarbejdelse, indsamling, registrering, tildeling af fortrolighedsgrad, behandling, visning, konsultation, transport, overførsel, nedklassificering, afklassificering, arkivering og destruktion

d)"opbevaring": den handling at lagre informationer på et hvilket som helst medium for at sikre tilgængelighed med henblik på fremtidig brug

e)"EU's institutioner og organer": EU-institutioner, -organer, -kontorer og ‑agenturer, der er oprettet ved eller på grundlag af traktaten om Den Europæiske Union, traktaten om Den Europæiske Unions funktionsmåde, traktaten om oprettelse af Det Europæiske Atomenergifællesskab eller en lovgivningsmæssig retsakt

f)"hemmelig Euratomviden": oplysninger som omhandlet i Rådet for Det Europæiske Atomenergifællesskabs forordning nr. 3/1958

g)"sikkerhedsmyndighed": den sikkerhedsfunktion i hver EU-institution og -organ, der er udpeget i overensstemmelse med enhedens forretningsorden eller oprettelsesretsakt

h)"risikostyringsproces for informationssikkerhed": hele processen med at identificere, kontrollere og minimere usikre begivenheder, der kan påvirke sikkerheden i en enhed eller i de systemer, enheden anvender. Dette omfatter samtlige risikorelaterede aktiviteter, herunder vurdering, behandling, accept og kommunikation

i)"aktiv": alt hvad der er af værdi for en EU-institution eller -organ, dennes drift og kontinuiteten af disse, herunder informationskilder, der understøtter enhedens opgaver

j)"operationelle sikkerhedsprocedurer": et sæt dokumenterede procedurer, jf. bilag III, for driften af et sikret område, et CIS eller andre sikkerhedsrelaterede aktiver eller tjenester til sikring af deres effektivitet

k)"kommunikations- og informationssystem" eller "CIS": et system, der muliggør håndtering og opbevaring af informationer i elektronisk form, herunder alle aktiver, der kræves til dets drift

l)"informationssikring": sikkerhed for, at CIS'er beskytter de informationer, de håndterer og opbevarer, at de fungerer, som de skal, når de skal, under de legitime brugeres kontrol, og at de sikrer et passende niveau af autenticitet, tilgængelighed, fortrolighed, integritet og uafviselighed.

m)"akkreditering": en formel autorisation udstedt af sikkerhedsakkrediteringsmyndigheden til et CIS til at behandle en på forhånd fastsat EUCI-klassifikationsgrad eller til et sikret område til at opbevare en på forhånd fastsat EUCI-klassifikationsgrad

n)"akkrediteringsproces": de skridt og opgaver, der er en forudsætning for akkreditering

o)"TEMPEST-sikkerhedsforanstaltninger": foranstaltninger for at beskytte ethvert CIS, der håndterer eller opbevarer informationer, som er klassificeret CONFIDENTIEL UE/EU CONFIDENTIAL eller højere, mod kompromittering af sådanne informationer gennem utilsigtede elektromagnetiske emissioner

p)"CERT-EU": EU-institutionernes og -organernes Cybersikkerhedscenter som omhandlet i Europa-Parlamentets og Rådets forordning (EU) [...] om foranstaltninger til sikring af et højt fælles cybersikkerhedsniveau i EU's institutioner, organer, kontorer og agenturer

q)"informationssikkerhedshændelse": enhver begivenhed, der potentielt kompromitterer autenticiteten, tilgængeligheden, fortroligheden, integriteten og uafviseligheden af opbevarede, overførte eller behandlede informationer

r)"need to know": en persons behov for adgang til bestemte informationer, der håndteres eller opbevares af en EU-institution eller -organ, med henblik på udførelsen af sine opgaver på vegne af den pågældende EU-institution eller ‑organ

s)"nultillid": en sikkerhedsmodel, et sæt systemkonstruktionsprincipper og en koordineret cybersikkerheds- og systemforvaltningsstrategi baseret på en anerkendelse af, at trusler findes både inden for og uden for traditionelle netværksgrænser

t)"mærkning": en klassificering, der anvendes på informationer for at sikre, at de korrekte sikkerhedsforanstaltninger træffes

u)"sikkerhedsmærkning": en mærkning, der angiver informationernes fortrolighedsgrad

v)"distributionsmærkning": en mærkning, der angiver de tiltænkte adressater inden for den udstedende EU-institution eller -organ

w)"videregivelsesmærkning": en mærkning, der angiver de tilladte adressater uden for den udstedende EU-institution eller -organ

x)"systemejer": den person, der har det overordnede ansvar for indkøb, udvikling, integration, ændring, drift, vedligeholdelse og tilbagetrækning af et CIS

y)"sikkerhedstrussel": en begivenhed eller udløsende faktor, som med rimelighed kan forventes at have en negativ indvirkning på informationssikkerheden, hvis der ikke reageres på den, eller den ikke begrænses  

z)"sårbarhed": en svaghed, følsomhed eller fejl i forbindelse med et aktiv, et system, en proces eller en kontrolfunktion, som kan udnyttes af en eller flere cybertrusler

aa)"risiko": en given trussels potentielle negative virkning i forbindelse med mulig udnyttelse af indre og ydre sårbarheder i en EU-institution eller -organ eller i de systemer, de benytter, der forvolder skade på berettigede offentlige og private interesser, målt som en kombination af sandsynligheden for at trusler indtræffer og deres virkning

ab)"residualrisiko": den risiko, der fortsat eksisterer, efter at der er gennemført sikkerhedsforanstaltninger

ac)"risikovurdering": identifikation af trusler og sårbarheder og udførelse af den dertil knyttede risikoanalyse, dvs. analyse af sandsynlighed og virkning

ad)"risikobehandling": afbødning, fjernelse, reduktion (gennem en passende kombination af tekniske, fysiske, organisatoriske eller proceduremæssige foranstaltninger), flytning eller overvågning af risikoen

ae)"europæisk cybersikkerhedsattest": en attest som omhandlet i artikel 2, nr. 11), i forordning (EU) 2019/881 28

af)"den, der er i besiddelse af": en behørigt autoriseret person med en fastslået need to know, der er i besiddelse af informationer, som kræver beskyttelse, og derfor er ansvarlig for at beskytte dem

ag)"materiale": ethvert dokument, enhver databærer, enhver maskine eller ethvert udstyr, der enten er fremstillet eller er ved at blive fremstillet

ah)"EU-klassificerede informationer" eller "EUCI": informationer eller materiale mærket med en EU-sikkerhedsklassifikation, hvis uautoriserede videregivelse potentielt kan forvolde skade på Den Europæiske Unions eller en eller flere af medlemsstaternes interesser i forskellig grad

ai)"autorisation til at få adgang til EUCI": en afgørelse truffet af en sikkerhedsmyndighed om, at en tjenestemand, en anden ansat eller en udstationeret national ekspert i en EU-institution eller -organ kan få adgang til EUCI op til en bestemt klassifikationsgrad i en bestemt periode

aj)"national sikkerhedsmyndighed" eller "NSA": en offentlig myndighed i en medlemsstat, der har det endelige ansvar for klassificerede informationers sikkerhed i den pågældende medlemsstat

ak)"udpeget sikkerhedsmyndighed" eller "DSA": en myndighed i en medlemsstat (en national sikkerhedsmyndighed eller anden kompetent myndighed), der er ansvarlig for opstilling af retningslinjer og for at yde bistand i forbindelse med gennemførelsen af industrisikkerhed og godkendelsesprocedurer

al)"sikkerhedsundersøgelse": de undersøgelser, som den kompetente myndighed i en medlemsstat foretager i overensstemmelse med denne stats nationale ret og bestemmelser med henblik på at kunne nå til den konklusion, at der ikke er konstateret negative forhold, som kunne forhindre en person i at få en sikkerhedsgodkendelse op til en bestemt klassifikationsgrad (CONFIDENTIEL UE/EU CONFIDENTIAL eller højere)

am)"fysisk sikkerhed": anvendelse af fysiske, tekniske og organisatoriske foranstaltninger på en EU-institutions eller -organs lokaliteter, bygninger, lokaler, kontorer eller faciliteter, som skal beskyttes mod uautoriseret adgang til informationer, der håndteres, opbevares eller drøftes der

an)"site": en EU-institutions eller -organs lokaliteter, bygninger, lokaler, kontorer eller faciliteter

ao)"dybdeforsvar": en type sikkerhed, der anvender flere uafhængige lag sikkerhedskontroller til at sikre, at et lag stadig er operativt, hvis et andet fejler

ap)"kryptografisk (krypto)materiale": algoritmer, kryptografiske hardware- og softwaremoduler samt produkter, der omfatter implementeringsdetaljer og tilhørende dokumentation og nøglingsmateriale

aq)"kryptoprodukt": et produkt, hvis primære hovedfunktion er at yde sikkerhedstjenester (autenticitet, tilgængelighed, fortrolighed, integritet og uafviselighed) ved hjælp af en eller flere kryptografiske mekanismer

ar)"udsteder": en EU-institution eller -organ, en medlemsstat, et tredjeland eller en international organisation, under hvis myndighed klassificerede informationer er blevet udarbejdet eller bragt ind i EU's strukturer

as)"dokument": indhold, uanset medium (papir, elektronisk, magnetisk eller andet), i skriftlig form eller som billedoptagelser eller audiovisuelle optagelser

at)"sikkerhedsregistrering": anvendelse af procedurer, som registrerer materialets livscyklus, herunder distribution og destruktion

au)"afklassificering": fjernelse af enhver sikkerhedsklassifikation

av)"nedklassificering": nedsættelse til en lavere sikkerhedsklassifikationsgrad

aw)"klassificeret kontrakt": en rammekontrakt eller en kontrakt som omhandlet i Europa-Parlamentets og Rådets forordning (EU, Euratom) 2018/1046, som en EU-institution eller -organ indgår med en kontrahent om levering af løsøre eller fast ejendom, udførelse af arbejder eller levering af tjenesteydelser, såfremt dens opfyldelse forudsætter eller indebærer håndtering, herunder udarbejdelse, eller opbevaring af EUCI

ax)"klassificeret tilskudsaftale": en aftale, hvorved en EU-institution eller -organ yder et tilskud, jf. afsnit VIII i forordning (EU, Euratom) 2018/1046, såfremt dens opfyldelse forudsætter eller indebærer håndtering, herunder udarbejdelse, eller opbevaring af EUCI

ay)"klassificeret underleverandørkontrakt": en kontrakt, som en EU-institutions eller -organs kontrahent eller tilskudsmodtager indgår med en underleverandør om levering af løsøre eller fast ejendom, udførelse af arbejder eller levering af tjenesteydelser, såfremt dens opfyldelse forudsætter eller indebærer håndtering, herunder udarbejdelse, eller opbevaring af EUCI

az)"program- eller projektsikkerhedsinstruktion" eller "PSI": en liste over sikkerhedsprocedurer, der anvendes i forbindelse med et bestemt program eller projekt for at standardisere sikkerhedsprocedurerne

ba)"særlige sikkerhedsbetingelser" eller "SAL": et sæt særlige kontraktbetingelser udstedt af den kontraherende eller tilskudsgivende myndighed, som er en integrerende del af en klassificeret kontrakt eller tilskudsaftale, der indebærer adgang til eller udarbejdelse af EUCI, og som fastlægger sikkerhedskravene eller de elementer i kontrakten eller tilskudsaftalen, der kræver sikkerhedsbeskyttelse

bb)"sikkerhedsklassifikationsvejledning" eller "SCG": et dokument, der beskriver de elementer af et program, et projekt, en kontrakt eller en tilskudsaftale, der er klassificerede, med angivelse af de gældende klassifikationsgrader.

Artikel 4

Generelle principper 

1.Hver enkelt EU-institution og -organ har ansvaret for gennemførelsen af denne forordnings bestemmelser i deres enhed under hensyntagen til enhedens egen risikostyringsproces for informationssikkerhed.

2.     Manglende overholdelse af denne forordning, navnlig uautoriseret videregivelse af informationer klassificeret i de fortrolighedsgrader, der er nævnt i artikel 2, stk. 2, med undtagelse af informationer til offentlig brug, er genstand for en undersøgelse og kan udløse en disciplinærsag i overensstemmelse med traktaterne eller institutionens eller -organets personalevedtægter.

3.EU's institutioner og organer vurderer alle de informationer, som de håndterer og opbevarer, med henblik på at klassificere dem i henhold til de fortrolighedsgrader, der er nævnt i artikel 2, stk. 2.

4.EU's institutioner og organer fastslår sikkerhedsbehovet for alle informationer, som de håndterer og opbevarer, under hensyntagen til følgende aspekter: 

a)autenticitet: det forhold, at der er sikkerhed for, at informationer er ægte og fra bona fide-kilder

b)tilgængelighed: det forhold, at der er adgang til informationer, og at de kan anvendes på anmodning af en autoriseret enhed

c)fortrolighed: det forhold, at informationer ikke videregives til uautoriserede personer, enheder eller processer

d)integritet: det forhold, at informationerne er fuldstændige, og at fuldstændigheden er uændret

e)uafviselighed: det forhold, at det kan bevises, at en handling eller begivenhed har fundet sted, så denne handling eller begivenhed ikke senere kan benægtes.

5.EU-institutionen eller -organet fastsætter for hvert CIS, som de har ansvaret for, den højeste fortrolighedsgrad, som et sådant CIS kan håndtere og opbevare, gennemfører en risikovurdering for informationssikkerhed og overvåger regelmæssigt sikkerhedsbehovene og den korrekte gennemførelse af de udpegede beskyttelsesforanstaltninger. 

6.Alle EU's institutioner og organer gennemfører kursus- og bevidstgørelsesaktiviteter for at oplyse om, hvordan ikkeklassificerede informationer og EUCI skal håndteres og opbevares. 

EU-institutioner og -organer, der håndterer og opbevarer EUCI, arrangerer obligatoriske kurser mindst hvert femte år for alle personer, der er autoriseret til at få adgang til EUCI. De pågældende EU-institutioner og -organer arrangerer specifikke kurser for de specifikke funktioner, der varetager informationssikkerhedsopgaver.

En EU-institution eller -organ kan koordinere sådanne kursus- og bevidstgørelsesaktiviteter med andre EU-institutioner og -organer.

Artikel 5

Risikostyringsproces for informationssikkerhed

1.Hver EU-institution og -organ fastlægger en risikostyringsproces for informationssikkerhed med henblik på beskyttelse af de informationer, de håndterer og opbevarer.

2.Risikostyringsprocessen for informationssikkerhed omfatter følgende trin:

a)identifikation af trusler og sårbarhed

b)risikovurdering

c)risikobehandling

d)risikoaccept

e)risikokommunikation.

3.Risikostyringsprocessen for informationssikkerhed tager hensyn til alle faktorer, der er relevante for EU-institutionen eller -organet, navnlig:

a)informationernes fortrolighedsgrad og de dertil knyttede retlige forpligtelser

b)informationernes form og mængden af dem samt de faciliteter eller CIS'er, der håndterer og opbevarer informationerne

c)de personer, der har adgang til informationerne på sitet eller ved hjælp af en fjernforbindelse

d)omgivelserne og strukturen af de bygninger eller områder, hvor informationerne opbevares

e)de trusler, der er rettet mod EU, EU's institutioner og organer eller medlemsstaterne, som stammer fra cyberangreb, angreb på forsyningskæder, spionage, sabotage, terrorisme og undergravende eller anden kriminel virksomhed

f)driftskontinuitet og katastrofeberedskab

g)resultatet af eventuelle inspektioner, revisioner eller vurderingsbesøg.

Kapitel 2
Forvaltning og tilrettelæggelse af sikkerheden

Artikel 6

Den interinstitutionelle koordinationsgruppe om informationssikkerhed

1.Der oprettes en interinstitutionel koordinationsgruppe om informationssikkerhed ("koordinationsgruppen").

Denne består af alle EU-institutionernes og -organernes sikkerhedsmyndigheder og har mandat til at fastlægge deres fælles informationssikkerhedspolitik.

2.Idet den træffer afgørelse ved samtykke og i alle EU-institutioners og -organers fælles interesse, har koordinationsgruppen til opgave at:

a)vedtage sin egen forretningsorden samt fælles mål og prioriteter på årsbasis

b)vedtage afgørelser om oprettelsen af tematiske undergrupper og disses mandater

c)udarbejde vejledende dokumenter om gennemførelsen af denne forordning, hvor det er relevant i samarbejde med Det Interinstitutionelle Råd for Cybersikkerhed, jf. artikel 9 i forordning (EU) [...] om foranstaltninger til sikring af et højt fælles cybersikkerhedsniveau i EU's institutioner, organer, kontorer og agenturer 

d)oprette særlige platforme til deling af bedste praksis og viden om fælles emner, der er relevante for informationssikkerheden og for at kunne yde bistand i forbindelse med informationssikkerhedshændelser

e)sikre, at sikkerhedsforanstaltninger koordineres behørigt med de kompetente nationale sikkerhedsmyndigheder med henblik på beskyttelse af EUCI.

3.Koordinationsgruppen udpeger blandt sine medlemmer en formand og to næstformænd, der sidder i tre år.

4.Koordinationsgruppen mødes mindst en gang om året på formandens initiativ eller på anmodning fra en EU-institution eller -organ.

5.Koordinationsgruppen bistås administrativt af et permanent sekretariat, der stilles til rådighed af Kommissionen.

6.Hver EU-institution og -organ repræsenteres behørigt i koordinationsgruppen og, i givet fald, i de tematiske undergrupper.

7.EU's institutioner og organer gør koordinationsgruppen opmærksom på al væsentlig politikudvikling vedrørende informationssikkerhed i deres enhed.

8.I forbindelse med udførelsen af de i stk. 2, litra e), omhandlede opgaver bistås koordinationsgruppen af et informationssikkerhedsudvalg.  Udvalget består af en repræsentant fra hver national sikkerhedsmyndighed, og formandskabet varetages af koordinationsgruppens sekretariat, jf. stk. 5. Informationssikkerhedsudvalget har en rådgivende funktion.

Artikel 7

Tematiske undergrupper

1.Koordinationsgruppen opretter følgende permanente tematiske undergrupper for at fremme gennemførelsen af denne forordning:

a)en undergruppe om informationssikring

b)en undergruppe om ikkeklassificerede informationer

c)en undergruppe om fysisk sikkerhed

d)en undergruppe om akkreditering af kommunikations- og informationssystemer, der håndterer og opbevarer af EUCI

e)en undergruppe om deling af EUCI og udveksling af klassificerede informationer.

2.Om nødvendigt kan koordinationsgruppen oprette ad hoc-undergrupper med henblik på en bestemt opgave og i en begrænset periode.

3.Medmindre andet er fastsat i deres mandater, baseres undergrupperne på et åbent medlemskab, der repræsenterer EU's institutioner og organer. Medlemmerne af undergrupperne er eksperter på det pågældende kompetenceområde.

4.Koordinationsgruppens sekretariat, jf. artikel 5, stk. 5, støtter undergruppernes arbejde og sikrer kommunikationen mellem medlemmerne.                                 

Artikel 8

Tilrettelæggelse af sikkerheden

1.Hver EU-institution eller -organ udpeger en sikkerhedsmyndighed, som varetager det ansvar, der følger af denne forordning, og i givet fald af EU-institutionens eller ‑organets interne sikkerhedsregler. I forbindelse med udførelsen af sine opgaver får sikkerhedsmyndigheden støtte fra den tjenestegren eller den ansvarlige, der varetager informationssikkerhedsopgaver.

2.Om nødvendigt vedtager hver EU-institutions og -organs sikkerhedsmyndighed interne gennemførelsesregler med henblik på beskyttelse af informationer i overensstemmelse med deres specifikke opgaver, som tildelt ved EU's lovgivning, og baseret på deres institutionelle autonomi.

3.Hvis det er relevant, varetager sikkerhedsmyndigheden desuden følgende funktioner:

a)informationssikringsmyndighed, der har ansvaret for udvikling af informationssikkerhedspolitikker og sikkerhedsretningslinjer samt overvågning af deres effektivitet og relevans

b)operativ informationssikringsmyndighed, der har ansvaret for udvikling af sikkerhedsdokumentation, navnlig de operationelle sikkerhedsprocedurer og kryptoplanen inden for akkrediteringsprocessen for CIS'er

c)sikkerhedsakkrediteringsmyndighed, der har ansvaret for akkreditering af sikrede områder og CIS'ers håndtering og opbevaring af EUCI

d)TEMPEST-myndighed, der har ansvaret for at godkende de foranstaltninger, der træffes med henblik på at beskytte EUCI mod kompromittering i forbindelse med utilsigtede elektromagnetiske emissioner

e)kryptogodkendelsesmyndighed, der har ansvaret for anvendelsen af krypteringsteknologier på grundlag af en anmodning fra systemejeren

f)kryptodistributionsmyndighed, der har ansvaret for at distribuere kryptografisk materiale, som anvendes til at beskytte EUCI (krypteringsudstyr, kryptonøgler, certifikater og relaterede autentikatorer), til de relevante brugere.

4.De beføjelser, der er forbundet med en eller flere af de i stk. 3 omhandlede funktioner, kan delegeres til en anden EU-institution eller -organ, hvis en decentral levering af sikkerhedsbeskyttelse indebærer væsentlige besparelser hvad angår effektivitet, ressourcer eller tid.

Kapitel 3
Informationssikring og kommunikations- og informationssystemer (CIS'er)

Artikel 9

Principper for informationssikring

1.Der tages hensyn til vurderingen af informationssikkerhedsbehovene fra begyndelsen for så vidt angår opbygningsfasen, alternativt fra indkøbsfasen, for så vidt angår alle CIS'er, herunder interne, eksterne og hybride CIS'er.

2.Alle CIS'er, der håndterer og opbevarer EUCI, akkrediteres i overensstemmelse med kapitel 5, afsnit 5. Alle CIS'er, der håndterer og opbevarer følsomme ikkeklassificerede informationer, overholder minimumskravene for følsomme ikkeklassificerede informationer i CIS'er som fastsat i kapitel 4.

Artikel 10

Undergruppen om informationssikring

1.Undergruppen om informationssikring, jf. artikel 7, stk. 1, litra a), har følgende roller og ansvarsområder:

a)yde vejledning og bedste praksisser om mærkning, håndtering og opbevaring af informationer i CIS'er i tæt samarbejde med Det Interinstitutionelle Råd for Cybersikkerhed, jf. artikel 9 i forordning (EU) [XXX] om foranstaltninger til sikring af et højt fælles cybersikkerhedsniveau i EU's institutioner, organer, kontorer og agenturer

b)fastlægge en metadatatypologi for mærkning samt al nødvendig teknisk information med henblik på at bidrage til en interoperabel og gnidningsløs udveksling af informationer på tværs af alle EU's institutioner og organer, når de sammenkobler deres respektive CIS'er

c)bidrage til sammenhæng mellem reglerne om informationssikkerhed og referencescenarierne for cybersikkerhed på tværs af alle EU's institutioner og organer, jf. artikel 5 i forordning (EU) [XXX] om foranstaltninger til sikring af et højt fælles cybersikkerhedsniveau i EU's institutioner, organer, kontorer og agenturer.

Artikel 11

Krav til CIS'er

1.EU's institutioner og organer informerer alle brugere om de fortrolighedsgrader for informationer, der kan håndteres og opbevares i et CIS. Hvis et CIS håndterer og opbevarer flere forskellige fortrolighedsgrader, anvendes der metadata og visuelle mærkninger til at sikre, at de forskellige grader kan skelnes fra hinanden.

2.EU's institutioner og organer identificerer CIS-brugere, før de gives adgang til andre fortrolighedsgrader end offentlig brug. Brugere autentificeres på et sikringsniveau, der svarer til fortrolighedsgraden. Hvor det er relevant, anvendes der en sikker fælles identifikationsordning.

3.Der lagres passende sikkerhedslogfiler for alle CIS'er med henblik på at sikre hurtige undersøgelser i tilfælde af brud på sikkerheden eller læk af informationer. Sådanne logfiler lagres i en periode, der fastsættes i den aktivitetsmæssige konsekvensanalyse eller i de relevante sikkerhedspolitikker, på en uafviselig måde. 

Hvis et CIS håndterer og opbevarer EUCI, lagres logfiler vedrørende need to know og adgang til informationer, indtil informationerne afklassificeres. Sikkerhedslogfiler skal være søgbare og tilgængelige for sikkerhedsmyndigheden.

4.EU's institutioner og organer vedtager interne regler om CIS'ers sikkerhed med henblik på at fastsætte passende sikkerhedsforanstaltninger i overensstemmelse med sikkerhedsbehovene for de informationer, der håndteres og opbevares, og under hensyntagen til de jurisdiktioner, i hvilke informationerne opbevares, overføres til og håndteres i.  Hvis det er relevant, omfatter disse foranstaltninger følgende:

a)begrænsninger vedrørende geografisk placering

b)hensyntagen til potentielle interessekonflikter, boykotter eller sanktioner relateret til kontrahenter

c)kontraktbestemmelser til sikring af informationssikkerhed

d)kryptering af information ved hvil og transit

e)begrænsninger vedrørende kontrahentens ansattes adgang til EU-institutionernes og -organernes informationer

f)beskyttelse af personoplysninger i overensstemmelse med gældende databeskyttelseslovgivning. 

5.EU's institutioner og organer forvalter deres CIS'er under overholdelse af følgende principper:  

a)hvert CIS har en systemejer eller en operativ informationssikringsmyndighed, der er ansvarlig for dets sikkerhed

b)der gennemføres en risikostyringsproces for informationssikkerhed, som dækker informationssikkerhedsaspekter

c)sikkerhedskrav og operationelle sikkerhedsprocedurer fastlægges, gennemføres, kontrolleres og revideres formelt

d)informationssikkerhedshændelser registreres formelt, og der følges op på dem i overensstemmelse med forordning (EU) [XXX] om foranstaltninger til sikring af et højt fælles cybersikkerhedsniveau i EU's institutioner, organer, kontorer og agenturer.

Kapitel 4
Ikkeklassificerede informationer

Artikel 12

Informationer til offentlig brug

1.Informationer bestemt til offentlig brug eller offentliggørelse, eller som allerede er videregivet, der kan deles uden begrænsninger inden for og uden for EU's institutioner og organer, kategoriseres, håndteres og opbevares som informationer til offentlig brug.

2.EU's institutioner og organer kan mærke de i stk. 1 omhandlede informationer "PUBLIC USE".

3.EU's institutioner og organer sikrer integriteten og tilgængeligheden af informationer til offentlig brug med passende foranstaltninger baseret på sikkerhedsbehovet for de pågældende informationer.

Artikel 13

Normale informationer

1.Informationer bestemt til brug i en EU-institution eller -organ i forbindelse med udøvelsen af dennes funktioner, som ikke er kategoriseret som hverken følsomme ikkeklassificerede informationer eller til offentlig brug, kategoriseres, håndteres og opbevares som normale informationer. Denne kategori omfatter alle normale informationer på arbejdsniveau, som behandles af den pågældende EU-institution eller -organ.

2.Normale informationer kan mærkes visuelt eller i metadata, hvis det er nødvendigt for at sikre deres beskyttelse, navnlig hvis de deles uden for EU's institutioner og organer. I så fald anvendes mærkningen "EU NORMAL" eller "navnet eller forkortelsen på EU-institutionen eller -organet NORMAL" (tilpasses efter behov).

3.EU's institutioner og organer fastsætter standardbeskyttelsesforanstaltninger for normale informationer under hensyntagen til vejledning fra undergruppen om ikkeklassificerede informationer og eventuelle specifikke risici relateret til deres opgaver og aktiviteter.

4.Uden for EU's institutioner og organer udveksles normale informationer kun med fysiske eller juridiske personer, der har need to know.

Artikel 14

Følsomme ikkeklassificerede informationer

1.EU's institutioner og organer kategoriserer, håndterer og opbevarer alle informationer, der ikke er klassificerede, men som de skal beskytte i medfør af retlige forpligtelser eller den skade, som uautoriseret videregivelse kan forvolde på berettigede offentlige og private interesser, inklusive EU-institutionernes eller ‑organernes, medlemsstaternes eller enkeltpersoners interesser, som følsomme ikkeklassificerede informationer.

2.Hver EU-institution eller -organ identificerer følsomme ikkeklassificerede informationer ved en synlig sikkerhedsmærkning og fastlægger dertil svarende håndteringsinstrukser i overensstemmelse med bilag I.

3.EU's institutioner og organer beskytter følsomme ikkeklassificerede informationer ved at gennemføre egnede foranstaltninger for håndtering og opbevaring af dem.  Sådanne informationer må kun gøres tilgængelige inden for EU's institutioner og organer for personer, der har need to know, med henblik på udførelsen af de opgaver, de er tildelt.

4.Uden for EU's institutioner og organer udveksles følsomme ikkeklassificerede informationer kun med fysiske eller juridiske personer, der har need to know, og under overholdelse af de håndteringsinstrukser, der ledsager informationerne. Alle involverede parter gøres opmærksom på de relevante håndteringsinstrukser.

Artikel 15

Beskyttelse af ikkeklassificerede informationer og interoperabilitet

1.EU's institutioner og organer fastlægger procedurer for rapportering og forvaltning af alle hændelser eller mistænkte hændelser, der kan føre til kompromittering af ikkeklassificerede informationers sikkerhed.

2.Hvor det er nødvendigt, anvender EU's institutioner og organer mærkningerne i artikel 12, 13 og 14. Undtagelsesvis kan der anvendes andre ækvivalente mærkninger internt eller i relation til bestemte modparter i andre EU-institutioner og -organer eller i medlemsstaterne, hvis alle parter er enige. Sådanne undtagelser meddeles undergruppen om ikkeklassificerede informationer, jf. artikel 7, stk. 1, litra b).

3.Der fastsættes kontraktlige sikkerhedsbestemmelser med henblik på at sikre beskyttelse af normale og følsomme ikkeklassificerede informationer, som behandles af udliciterede tjenester.  Disse sikkerhedsbestemmelser udformes med henblik på som minimum at garantere et beskyttelsesniveau, der er ækvivalent med det niveau, der fastsættes i denne forordning, og omfatter fortrolighed og forpligtelser om ikke at videregive informationer, der underskrives af alle relevante tjenesteudbydere, som er involveret i leveringen af udliciterede systemer.

Artikel 16

Undergruppen om ikkeklassificerede informationer 

1.Undergruppen om ikkeklassificerede informationer, jf. artikel 7, stk. 1, litra b), har følgende roller og ansvarsområder:

a)strømlining af de procedurer, der vedrører håndtering og opbevaring af ikkeklassificerede informationer og udarbejdelse af den relevante vejledning

b)koordinering med undergruppen om informationssikring, jf. artikel 7, stk. 1, litra a), om spørgsmål vedrørende systemers håndtering og opbevaring af ikkeklassificerede informationer

c)udarbejdelse af håndteringsinstrukser for de forskellige fortrolighedsgrader for ikkeklassificerede informationer

d)bistand til EU's institutioner og organer i forbindelse med fastsættelsen af ækvivalensen mellem deres respektive kategorier af ikkeklassificerede informationer og kategorierne i artikel 12, 13 og 14

e)fremme af delingen af ikkeklassificerede informationer mellem EU's institutioner og organer, idet den yder bistand og vejledning.

Artikel 17

Håndtering og opbevaring af følsomme ikkeklassificerede informationer i CIS'er

1.EU's institutioner og organer sikrer, at CIS'er overholder følgende minimumskrav, når de håndterer og opbevarer følsomme ikkeklassificerede informationer:

a)der gennemføres stærk autentificering for at få adgang til følsomme ikkeklassificerede informationer, og følsomme ikkeklassificerede informationer krypteres i forbindelse med overførsel og opbevaring

b)den EU-institution eller -organ, der er ansvarlig for driften af CIS'et, er ansvarlig for de krypteringsnøgler, der anvendes i forbindelse med opbevaring

c)følsomme ikkeklassificerede informationer opbevares og behandles i EU

d)alle udliciteringskontrakter omfatter kontraktbestemmelser om personales, aktivers og informationers sikkerhed

e)der anvendes interoperable metadata til registrering af fortrolighedsgraden for elektroniske dokumenter og til at fremme automatiseringen af sikkerhedsforanstaltninger

f)EU's institutioner og organer gennemfører foranstaltninger til forhindring og afsløring af datalæk med henblik på beskyttelse af følsomme ikkeklassificerede informationer

g)der anvendes, i givet fald, sikkerhedsudstyr, som har en europæisk cybersikkerhedsattest

h)tjenesteudbydere og kontrahenter gennemfører sikkerhedsforanstaltninger baseret på principperne om need to know og nultillid med henblik på at begrænse adgangen til følsomme ikkeklassificerede informationer.

2.Alle afvigelser fra minimumskravene i stk. 1 godkendes af det relevante ledelseslag i den relevante EU-institution eller -organ på grundlag af en risikovurdering, der omfatter de retlige og tekniske risici for de følsomme ikkeklassificerede informationers sikkerhed.

3.Den relevante EU-institutions eller -organs informationssikringsmyndighed kan kontrollere overholdelsen af kravene i stk. 1 på et hvilket som helst tidspunkt af et CIS's livscyklus.

Kapitel 5
EUCI

Afsnit 1
Generelle bestemmelser

Artikel 18

Sikkerhedsklassifikationer og mærkninger

1.EUCI klassificeres efter en af følgende grader og mærkes som følger:

a)TRES SECRET UE/EU TOP SECRET: informationer og materiale, hvis uautoriserede videregivelse kunne forvolde Den Europæiske Unions eller en eller flere af medlemsstaternes væsentlige interesser en overordentlig alvorlig skade

b)SECRET UE/EU SECRET: informationer og materiale, hvis uautoriserede videregivelse kunne forvolde Den Europæiske Unions eller en eller flere af medlemsstaternes væsentlige interesser alvorlig skade

c)CONFIDENTIEL UE/EU CONFIDENTIAL: informationer og materiale, hvis uautoriserede videregivelse kunne forvolde Den Europæiske Unions eller en eller flere af medlemsstaternes væsentlige interesser skade

d)RESTREINT UE/EU RESTRICTED: informationer og materiale, hvis uautoriserede videregivelse kunne have negativ indvirkning på Den Europæiske Unions eller en eller flere af medlemsstaternes interesser.

2.Koordinationsgruppen vedtager vejledende dokumenter om udarbejdelse og klassificering af EUCI.

Artikel 19

Egnethed i forbindelse med håndtering og opbevaring af EUCI

1.Alle EU's institutioner og organer må håndtere og opbevare EUCI, hvis følgende betingelser er opfyldt:

a)enheden fastsætter i overensstemmelse med denne forordning regler og procedurer, der sikrer beskyttelse af informationer med en givet klassifikationsgrad, og

b)enheden har været genstand for et vurderingsbesøg i overensstemmelse med artikel 53, og det er efterfølgende certificeret, at enheden kan beskytte EUCI i overensstemmelse med denne forordning og, hvis det er relevant, andre relevante regler og procedurer.

2.Betingelserne i stk. 1 anses automatisk som opfyldt for så vidt angår medlemmerne af undergruppen om deling af EUCI og udveksling af klassificerede informationer, jf. artikel 7, stk. 1, litra e).

Artikel 20

Beskyttelse af EUCI

1.Den, der er i besiddelse af EUCI, er ansvarlig for beskyttelsen heraf.

2.Hvis en medlemsstat bringer klassificerede informationer med en national sikkerhedsmærkning ind i en EU-institutions eller -organs strukturer eller netværk, beskytter den pågældende EU-institution eller -organ disse informationer i overensstemmelse med den tilsvarende klassifikationsmærkning fastsat i aftalen mellem Den Europæiske Unions medlemsstater, forsamlet i Rådet, om beskyttelse af klassificerede informationer, der udveksles i Den Europæiske Unions interesse 29 . Den dertilhørende ækvivalenstabel findes i bilag VI til denne forordning.

3.En samlet mængde af EUCI kan berettige til en sikkerhedsbeskyttelse af en grad, der svarer til en højere klassifikation end den, der gælder for de enkelte dele.

Artikel 21

Risikostyringsproces for EUCI's sikkerhed

1.Hver EU-institutions og -organs sikkerhedsmyndighed godkender sikkerhedsforanstaltningerne til beskyttelse af EUCI i hele livscyklussen i overensstemmelse med resultatet af den risikovurdering, der er udarbejdet af den pågældende EU-institution eller -organ.

2.De sikkerhedsforanstaltninger, som hver EU-institution eller -organ træffer, er i overensstemmelse med klassifikationsgraden for de informationer, der håndteres og opbevares, formen og mængden af informationer, placeringen af og de beskyttende træk ved de faciliteter, hvor EUCI håndteres og opbevares, og den lokalt vurderede trussel fra ondsindet og kriminel virksomhed.

3.Alle EU-institutioner og -organer udarbejder:

a)beredskabsplaner med henblik på at sikre EUCI's sikkerhed i nødsituationer

b)kontinuitetsplaner, som omfatter forebyggende og genoprettende foranstaltninger med henblik på at minimere følgerne af større nedbrud eller sikkerhedshændelser vedrørende håndtering og opbevaring af EUCI.

Artikel 22

Brud på sikkerheden og kompromittering af EUCI

1.En EU-institutions eller -organs eller en persons handling eller forsømmelse, der er i strid med denne forordning, betragtes som et brud på sikkerheden. 

2.EUCI anses for at være kompromitteret, hvis de som følge af et brud på sikkerheden helt eller delvist er videregivet til en eller flere personer, der ikke er autoriseret til at få adgang til de pågældende informationer.

3.Enhver kompromittering eller formodet kompromittering af EUCI indberettes straks til den relevante EU-institutions eller -organs sikkerhedsmyndighed, der gennemfører en sikkerhedsundersøgelse og som minimum træffer følgende foranstaltninger:

a)informerer udstederen

b)sikrer, at sagen undersøges af ansatte, der ikke er direkte involveret i bruddet på sikkerheden, med henblik på at fastslå de faktiske omstændigheder

c)vurderer den potentielle skade for EU's eller medlemsstaternes interesser

d)træffer passende foranstaltninger til at forebygge en gentagelse

e)underretter de kompetente myndigheder om den faktiske eller potentielle kompromittering og om de foranstaltninger, der er truffet. 

Afsnit 2
Personelsikkerhed 

Artikel 23

Grundprincipper

1.En EU-institutions eller -organs sikkerhedsmyndighed kan give personer adgang til EUCI, hvis følgende betingelser er opfyldt:

a)personen har need to know

b)personen er blevet orienteret om reglerne og procedurerne for sikkerhedsbeskyttelse af EUCI og de relevante sikkerhedsstandarder og sikkerhedsretningslinjer og skriftligt har anerkendt sit ansvar med hensyn til beskyttelse af sådanne informationer

c)personen er for så vidt angår informationer, der er klassificeret CONFIDENTIEL UE/EU CONFIDENTIAL eller højere, blevet sikkerhedsgodkendt og autoriseret til den relevante klassifikationsgrad.

2.EU's institutioner og organer tager en persons loyalitet, troværdighed og pålidelig i betragtning som fastslået i forbindelse med en sikkerhedsundersøgelse gennemført af de kompetente myndigheder i den medlemsstat, hvor ansøgeren er borger eller statsborger. 

3.EU's institutioner og organer kan acceptere sikkerhedsgodkendelser udstedt af tredjelande og internationale organisationer, som EU har indgået en informationssikkerhedsaftale med.

4.EU's institutioner og organer kan vælge selv at forvalte godkendelsesprocessen eller indgå en serviceleveranceaftale med Kommissionen om sikkerhedsgodkendelser.

Hvis der indgås en serviceleveranceaftale, fungerer Kommissionens sikkerhedsmyndighed som kontaktpunkt mellem sikkerhedskontorerne i den pågældende EU-institution eller -organ og den nationale kompetente myndighed i medlemsstaten for så vidt går sikkerhedsgodkendelsesspørgsmål. 

5.Hver EU-institutions eller -organs sikkerhedsmyndighed fører et register over deres sikkerhedsgodkendelser, orienteringer, skriftlige bekræftelser og autorisationer til at få adgang til EUCI.

6.EU-institutioner og -organer, der indgår en serviceleveranceaftale med Kommissionen, stiller de relevante registre til rådighed for Kommissionens sikkerhedsmyndighed som minimum for så vidt angår den klassifikationsgrad for EUCI, som en person gives adgang til, datoen for udstedelse af autorisationen til at få adgang til EUCI samt autorisationens gyldighedsperiode. Andre EU-institutioner og ‑organer, der har indgået en serviceleveranceaftale, skal kunne få begrundet adgang til disse registre.

Artikel 24

Autorisation til at få adgang til EUCI

1.Hver EU-institution og -organ udpeger de stillinger i deres enhed, der kræver adgang til informationer, der er klassificeret CONFIDENTIEL UE/EU CONFIDENTIAL eller højere, for at den, der bestrider stillingen, kan udføre sit arbejde.

2.Når en person skal autoriseres til at få adgang til informationer, der er klassificeret CONFIDENTIEL UE/EU CONFIDENTIAL eller højere, underretter den pågældende EU-institution eller -organ den kompetente sikkerhedsmyndighed, som iværksætter de formaliteter, der er fastsat i punkt 1 i bilag II.

3.Hver EU-institutions eller -organs sikkerhedsmyndighed har ansvaret for at udstede, suspendere, inddrage eller forny autorisationer til at få adgang til EUCI for så vidt angår egne medarbejdere.

4.En EU-institutions -eller -organs sikkerhedsmyndighed kan i særlige tilfælde, hvor det er behørigt begrundet i tjenestens interesse, og inden en fuldstændig sikkerhedsundersøgelse er afsluttet, give personer midlertidig autorisation til at få adgang til EUCI med henblik på en specifik stilling, jf. dog bestemmelserne om fornyelse af autorisationer til at få adgang til EUCI og i henhold til kontrol foretaget af den relevante nationale sikkerhedsmyndighed.

5.EU's institutioner og organer følger procedurerne for forvaltning af autorisationer til at få adgang til EUCI, jf. bilag II. 

Artikel 25

Anerkendelse af en autorisation til at få adgang til EUCI

1.En autorisation til at få adgang til EUCI op til den fastsatte grad er gyldig i alle EU-institutioner og -organer, som personen anvises arbejde i.

2.EU's institutioner og organer accepterer autorisationer til at få adgang til EUCI udstedt af andre EU-institutioner og -organer. 

3.Hvis en ansat, der er i besiddelse af en autorisation til at få adgang til EUCI, påbegynder en ansættelse i en anden EU-institution eller -organ, underretter den nye EU-institution eller -organ via den kompetente sikkerhedsmyndighed den relevante nationale myndighed om ændringen af arbejdsgiver.

Artikel 26

Orienteringer om EUCI

1.En EU-institutions eller -organs sikkerhedsmyndighed orienterer alle personer, der har brug for at få adgang til EUCI, om alle sikkerhedsrisici og om deres forpligtelse til at indberette mistænkelig aktivitet.  Orienteringen finder sted, inden der gives adgang til EUCI, og derefter mindst hvert femte år. 

2.Efter at have modtaget den i stk. 1 omhandlede orientering bekræfter alle berørte personer skriftligt, at de har forstået deres forpligtelser med hensyn til beskyttelse af EUCI og de konsekvenser, det kan få, hvis EUCI kompromitteres.

3.Der gælder følgende krav i forbindelse med den i stk. 1 omhandlede orientering:

a)enhver, der er ansvarlig for brud på sikkerhedsreglerne i denne forordning, kan pålægges disciplinære foranstaltninger i overensstemmelse med gældende regler og bestemmelser 

b)enhver, der er ansvarlig for kompromittering eller bortkomst af EUCI, kan pålægges disciplinære foranstaltninger eller retsforfølges i overensstemmelse med gældende ret, regler og bestemmelser.

4.Hvis personer, der har fået en autorisation til at få adgang til EUCI, ikke længere har brug for en sådan adgang, sikrer EU's institutioner og organer, at disse personer er bekendte med, og i givet fald skriftligt bekræfter, deres forpligtelse til fortsat at beskytte EUCI.

5.Opgaven med at udvikle og forvalte orienteringer om EUCI kan deles mellem EU's institutioner og organer, forudsat at der tages højde for deres individuelle krav. 

Afsnit 3
Fysisk sikkerhed

Artikel 27

Grundprincipper

1.Hver EU-institution og -organ fastsætter passende fysiske sikkerhedsforanstaltninger for deres sites i overensstemmelse med bilag III og princippet om dybdeforsvar og på grundlag af en risikovurdering udarbejdet af deres sikkerhedsmyndighed. Foranstaltningerne sikrer følgende målsætninger:

a)forhindre, at en indtrænger skaffer sig adgang til EUCI eller tiltvinger sig adgang

b)afskrække, vanskeliggøre og afsløre uautoriserede handlinger og reagere på sikkerhedshændelser så hurtigt som muligt

c)muliggøre personalemæssig adskillelse for så vidt angår adgang til EUCI på grundlag af personalets need to know og, når det er relevant, personalets sikkerhedsgodkendelse. 

2.EU's institutioner og organer gennemfører fysiske sikkerhedsforanstaltninger på alle sites, hvor EUCI drøftes, opbevares eller håndteres, inklusive områder, der huser CIS'er, jf. afsnit 5 i dette kapitel.

3.Der må kun anvendes udstyr, der er godkendt af EU's institutioner og organer, til fysisk beskyttelse af informationer, der er klassificeret CONFIDENTIEL UE/EU CONFIDENTIAL eller højere.

4.EU's institutioner og organer kan deles om sikrede områder, jf. bilag III, med henblik på håndtering og opbevaring af EUCI efter indgåelse af en aftale.

Artikel 28

Undergruppen om fysisk sikkerhed

1.Undergruppen om fysisk sikkerhed, jf. artikel 7, stk. 1, litra c), har følgende roller og ansvarsområder:

a)udarbejdelse af vejledende dokumenter om fysisk sikkerhed

b)fastsættelse af generelle sikkerhedskriterier for erhvervelsen af udstyr såsom sikkerhedscontainere, makulatorer, dørlåse, elektroniske adgangskontrolsystemer, systemer til afsløring af indtrængen og alarmsystemer til fysisk beskyttelse af EUCI

c)bistand til EU's institutioner og organer i forbindelse med fastsættelsen af passende sikkerhedsforanstaltninger for deres sites

d)forslag om kompensationsforanstaltninger til beskyttelse af EUCI, når EUCI håndteres uden for en EU-institutions eller -organs fysisk beskyttede område. 

Artikel 29

Fysisk beskyttelse af EUCI

1.For at sikre den fysiske beskyttelse af EUCI etablerer EU's institutioner og organer følgende fysisk beskyttede områder:

a)administrative områder, jf. bilag III

b)hvis det er relevant, sikrede områder, herunder klasse I, klasse II og teknisk sikrede områder, jf. bilag III.

2.Den pågældende EU-institutions eller -organs sikkerhedsmyndighed udfører en intern inspektion med henblik på at kontrollere, om betingelserne for et område, der etableres som et administrativt område eller et sikret område, jf. bilag III, er opfyldt. Hvis inspektionsrapporten indikerer, at betingelserne er opfyldt, kan sikkerhedsmyndigheden udstede en akkreditering af det sikrede område med henblik på at beskytte EUCI op til den angivne grad i en periode på højst fem år.

Den pågældende EU-institution eller -organ har ansvaret for at gennemføre fornyet akkreditering af sine sikrede områder, inden akkrediteringen udløber, eller når der er gennemført ændringer inden for det sikrede område. 

3.Hver EU-institution og -organ vedtager procedurer for forvaltning af nøgler og koder til kontorer, rum, bokslokaler og sikkerhedscontainere for klassifikationsgraden CONFIDENTIEL UE/EU-CONFIDENTIEL eller højere.

4.Sikkerhedsmyndigheden kan autorisere visitation ved ind- og udgang for at afskrække mod og afsløre uautoriseret indførelse af materiale eller uautoriseret fjernelse af EUCI fra et site.

5.EU's institutioner og organer træffer foranstaltninger til fysisk beskyttelse af EUCI i overensstemmelse med bilag III.

Afsnit 4
Forvaltning af EUCI

Artikel 30

Grundprincipper

1.EU's institutioner og organer registrerer, arkiverer og bevarer deres EUCI-dokumenter samt bortskaffer, gemmer i uddrag eller videregiver i sidste ende deres EUCI-dokumenter til de historiske arkiver i overensstemmelse med den opbevaringspolitik og de regler, der gælder for hver EU-institutions eller -organs filer. 

2.Den EU-institution eller -organ, der er udsteder af EUCI, fastlægger klassifikationsgraden for de pågældende informationer ved udarbejdelsen af dem og i overensstemmelse med artikel 18, stk. 1.

3.EU's institutioner og organer meddeler tydeligt klassifikationsgraden til modtagerne, enten ved en klassifikationsmærkning, eller ved at den oplyses, såfremt informationerne meddeles mundtligt.

4.De sikkerhedsforanstaltninger, der gælder for det oprindelige dokument, gælder også for udkast, kopier og oversættelser af det.

5.EU's institutioner og organer træffer foranstaltninger til forvaltning af EUCI i overensstemmelse med bilag IV. 

Artikel 31

Udarbejdelse af EUCI

2. Den EU-institution eller -organ, under hvis myndighed EUCI udarbejdes, sikrer at følgende krav er opfyldt:

a)hver side er tydeligt mærket med klassifikationsgraden

b)hver side er nummereret

c)dokumentet er forsynet med et referencenummer, hvis det er relevant et registreringsnummer, og et emne, der ikke i sig selv er EUCI, medmindre det er mærket som sådan

d)dokumentet er forsynet med datoen for udarbejdelsen.

e)alle bilag er så vidt muligt angivet på første side

f)dokumenter, der er klassificeret SECRET UE/EU SECRET eller højere, har et eksemplarnummer på hver side, hvis de skal distribueres i flere eksemplarer. Elektroniske kopier, der distribueres uden for opbevaringssystemet er forsynet med en unik identifikator baseret på en elektronisk signatur.

Artikel 32

Udstederkontrol

1.Den EU-institution eller -organ, under hvis myndighed EUCI udarbejdes, har udstederkontrol over det pågældende dokument. Udstederen fastsætter dokumentets klassifikationsgrad og er ansvarlig for dets første distribution. Uden at det berører forordning (EF) nr. 1049/2001 indhentes der forudgående skriftligt samtykke fra udsteder, før informationerne:

a)afklassificeres eller nedklassificeres

b)anvendes til andre formål end dem, der er fastsat af udstederen

c)fremsendes til en enhed uden for den EU-institution eller -organ, der er i besiddelse af informationerne, herunder et tredjeland eller en international organisation, en anden EU-institution eller -organ, medlemsstater, en kontrahent eller en potentiel kontrahent, en tilskudsmodtager eller en potentiel tilskudsmodtager

d)kopieres eller oversættes for så vidt angår klassifikationsgraden TRES SECRET-UE/EU-TOP SECRET.

2.Hvis det ikke er muligt at identificere udstederen af et EUCI-dokument, udøver den EU-institution eller -organ, som er i besiddelse af de klassificerede informationer, udstederkontrol.

3.Udstedere af EUCI-dokumenter fører et register over alle klassificerede kilder, der er benyttet til produktionen af klassificerede dokumenter, herunder nærmere oplysninger om kilder, der oprindeligt er fra medlemsstater, internationale organisationer eller tredjelande. Om nødvendigt mærkes aggregerede klassificerede informationer på en sådan måde, at identifikationen af udstederne af det anvendte klassificerede kildemateriale bevares.

Artikel 33

Klassifikationsmærkning

1.Ud over en sikkerhedsklassifikationsmærkning, kan EUCI-dokumenter om nødvendigt forsynes med yderligere mærkninger såsom distributions- eller videregivelsesmærkninger eller mærkning, der angiver udstederen.

2.Forskellige dele af et EUCI-dokument kan kræve forskellige klassifikationsgrader og mærkes i overensstemmelse hermed. Et dokuments eller dossiers samlede klassifikationsgrad er mindst den samme som den del, der har den højeste klassifikationsgrad.

3.Dokumenter, der indeholder dele med forskellig klassifikationsgrad, struktureres, så dele med en anden klassifikationsgrad let kan identificeres og udskilles, hvis det er nødvendigt.

Artikel 34

EUCI-arkivsystemet

1.Alle EU-institutioner og -organer, der håndterer og opbevarer informationer, der er klassificeret CONFIDENTIEL UE/EU CONFIDENTIAL eller højere, etablerer et eller flere EUCI-arkiver for at sikre registrering med henblik på sikkerhed, når informationerne ankommer til eller forlader en EU-institution eller -organ.

2.EUCI-arkiver etableres i sikrede områder, jf. bilag III.

3.EU's institutioner og organer udpeger en arkivansvarlig, der forvalter hvert EUCI-arkiv.  Den arkivansvarlige har relevant sikkerhedsgodkendelse og er autoriseret i overensstemmelse med artikel 24. EU's institutioner og organer sikrer korrekt uddannelse af deres arkivansvarlige.

Artikel 35

Nedklassificering og afklassificering

1.Informationer skal kun være klassificerede, så længe beskyttelsen af dem er nødvendig.  EUCI, for hvilke det ikke er nødvendigt at bevare den oprindelige klassifikationsgrad, nedklassificeres til en lavere grad. EUCI, som det ikke længere er nødvendigt at anse for at være klassificerede, afklassificeres.

2.På det tidspunkt, hvor EUCI udarbejdes, angiver udstederen så vidt muligt og navnlig for informationer, der er klassificeret som RESTREINT UE/EU RESTRICTED, om EUCI kan nedklassificeres eller afklassificeres på en bestemt dato eller efter en bestemt begivenhed.

3.Den udstedende EU-institution eller -organ har ansvaret for at afgøre, om et EUCI-dokument kan nedklassificeres eller afklassificeres.  EU-institutionen eller -organet tager regelmæssigt, men mindst hvert femte år, informationerne op til revision og vurderer risiciene med henblik på at afgøre, om den oprindelige klassifikationsgrad stadig er relevant.

4.EU-institutioner og -organer, der er i besiddelse af EUCI, som de ikke selv er udsteder af, ned- eller afklassificerer ikke det pågældende dokument, og hverken ændrer eller fjerner nogen af de mærkninger, der er omhandlet i artikel 18, stk. 1, uden forudgående skriftligt samtykke fra udstederen.

5.EU's institutioner og organer må delvist ned- eller afklassificere EUCI, som de selv har udarbejdet. I sådanne tilfælde produceres der et nedklassificeret eller afklassificeret uddrag.

6.EU's institutioner og organer underretter den enhed, der har modtaget de pågældende EUCI, om ned- eller afklassificeringen.

Artikel 36

Mærkninger på nedklassificerede og afklassificerede dokumenter

1.Hvis EU's institutioner og organer beslutter at afklassificere et EUCI-dokument, overvejes det, om dokumentet bør forsynes med en distributionsmærkning, der angiver, at der er tale om følsomme ikkeklassificerede informationer.

2.Den oprindelige klassifikationsmærkning øverst og nederst på hver side streges tydeligt over enten ved hjælp af "gennemstregningsfunktionen", når der er tale om dokumenter i elektronisk form, eller manuelt, når der er tale om trykte dokumenter. Den oprindelige klassifikationsmærkning fjernes ikke.

3.Den første side eller forsiden stemples som nedklassificeret eller afklassificeret og forsynes med nærmere oplysninger om den myndighed, der er ansvarlig for nedklassificeringen eller afklassificeringen, og den tilhørende dato. Nedklassificering eller afklassificering af et elektronisk EUCI-dokument dokumenteres ved hjælp af en elektronisk signatur under udsteders myndighed.

Artikel 37

Destruktion og sletning af EUCI

1.EU's institutioner og organer gennemgår mindst hvert femte år både EUCI, der foreligger i papirform, og EUCI, der er lagret i CIS'er, for at fastslå, om de bør destrueres eller slettes. Hvis EUCI destrueres eller slettes, instruerer de alle, der tidligere har modtaget de pågældende EUCI.

2.EU's institutioner og organer kan destruere duplikater af EUCI, der ikke længere er nødvendige, under hensyntagen til de relevante regler om dokumentforvaltning, der gælder for originalerne.

3.EU's institutioner og organer destruerer kun papirkopier af informationer, der af deres arkivansvarlige er klassificeret CONFIDENTIEL UE/EU CONFIDENTIAL eller højere. Den arkivansvarlige ajourfører logbøger og andre registreringsinformationer i overensstemmelse hermed, idet de vigtigste metadata af det destruerede dokument beholdes.

Dokumenter, der er klassificeret SECRET UE/EU SECRET og højere, destrueres kun af den arkivansvarlige og under overværelse af et vidne, der er sikkerhedsgodkendt til mindst samme klassifikationsgrad som det dokument, der destrueres.

4.Den arkivansvarlige og, hvis det er relevant, vidnet, underskriver en destruktionsattest, der opbevares i arkivet. Attesten opbevares i mindst fem år for så vidt angår informationer, der er klassificeret CONFIDENTIEL UE/EU CONFIDENTIAL og SECRET-UE/EU-SECRET, og i mindst 10 år for så vidt angår informationer, der er klassificeret TRES SECRET-UE/EU-TOP SECRET.

Artikel 38

Nødflytning og nøddestruktion af EUCI

1.Hver EU-institution eller -organ udarbejder planer for nødflytning og nøddestruktion baseret på lokalforholdene med henblik på at beskytte EUCI, der har en betydelig risiko for at falde i de forkerte hænder i en krisesituation.

De nærmere detaljer i planerne for nødflytning og nøddestruktion klassificeres RESTREINT UE/EU RESTRICTED.

2.Hvis der i en nødsituation er overhængende fare for uautoriseret videregivelse af EUCI, flytter EU's institutioner og -organer EUCI. 

Hvis flytning ikke er mulig, destrueres EUCI på en sådan måde, at de ikke kan rekonstrueres hverken helt eller delvis.

3.Udstederen og det udstedende arkiv underrettes om nødflytningen eller nøddestruktionen af de registrerede EUCI.

4.Når nødplanerne er aktiveret, prioriteres det at flytte eller destruere informationer med højeste klassifikationsgrad først, herunder krypteringsudstyret. 

Artikel 39

Arkivering

1.EU's institutioner og organer beslutter, om og hvornår EUCI arkiveres samt de tilhørende praktiske foranstaltninger, der træffes, i overensstemmelse med deres politik for dokumentforvaltning.

2.EUCI-dokumenter overføres ikke til Den Europæiske Unions historiske arkiver.

Afsnit 5
Beskyttelse af EUCI i kommunikations- og informationssystemer (CIS'er)

Artikel 40

Undergruppen om akkreditering af kommunikations- og informationssystemer, der håndterer og opbevarer af EUCI

Undergruppen om akkreditering af kommunikations- og informationssystemer, der håndterer og opbevarer af EUCI, jf. artikel 7, stk. 1, litra d), har følgende roller og ansvarsområder:

a)bistå EU's institutioner og organer i forbindelse med akkrediteringsprocessen

b)anbefale en standard for akkreditering, der bør følges af alle EU-institutioner og -organer

c)udbrede og dele bedste praksis og vejledning vedrørende akkreditering af CIS'er.

Artikel 41

Kommunikations- og informationssystemer (CIS'er)

EU's institutioner og organer opfylder følgende krav i forbindelse med CIS'er, der håndterer og opbevarer EUCI:

a)systemejeren eller den operative informationssikringsmyndighed konsulterer sikkerhedsakkrediteringsmyndigheden inden førstnævnte udvikler, bestiller eller muliggør håndtering eller opbevaring af EUCI i et CIS, med henblik på at fastsætte akkrediteringskravene

b)de vigtigste sikkerhedsprincipper for udformningen af CIS'er, der håndterer og opbevarer EUCI, gælder fra projektets begyndelse, som en del af informationssikkerhedsrisikostyringsprocessen og under hensyntagen til need to know, minimumsfunktionalitet, dybdeforsvar, minimumsrettigheder, funktionsadskillelse og to par øjne

c)lagrings-, centralbehandlings- og netstyringskomponenterne i et CIS, der håndterer og opbevarer EUCI, installeres i et sikret område, jf. bilag III

d)der gennemføres TEMPEST-sikkerhedsforanstaltninger, som svarer til risikoen for udnyttelse af informationerne og til informationernes klassifikationsgrad

e)alt personale, der er involveret i driften af et CIS, der håndterer og opbevarer EUCI, underretter sikkerhedsmyndigheden og den relevante systemejer eller operative informationssikringsmyndighed om potentielle sikkerhedssvagheder, hændelser, sikkerhedsbrud og systemkompromittering, som kan have indflydelse på beskyttelsen af CIS'et eller de EUCI, det håndterer eller opbevarer

f)hvis det er relevant, underretter sikkerhedsmyndigheden andre berørte EU-institutioners eller -organers sikkerhedsmyndigheder om potentielle sikkerhedssvagheder eller hændelser, som kan have indflydelse på deres CIS'ers håndtering eller opbevaring af EUCI.

Artikel 42

Kryptoprodukter

1.Der anvendes godkendte kryptoprodukter til elektronisk overførsel og opbevaring af EUCI. Listen over godkendte kryptoprodukter ajourføres af Rådet på baggrund af input fra de nationale sikkerhedsmyndigheder.

2.Hvis den i stk. 1 omhandlede liste ikke indeholder et produkt, der er egnet til formålet, anmoder den pågældende EU-institutions eller -organs kryptogodkendelsesmyndighed Rådet om en midlertidig godkendelse. Hvis det er muligt, vælges der et kryptoprodukt, som er godkendt af en medlemsstats nationale sikkerhedsmyndighed.

Rådet tager alle nødvendige skridt for at sikre, at et egnet produkt tilføjes til listen.

3.Godkendelser af kryptoprodukter er gyldige i maksimalt fem år og revurderes derefter årligt.

4.Rådet fjerner kryptoprodukter fra listen over godkendte kryptoprodukter, hvis den nationale godkendelse er trukket tilbage eller udløbet.

5.Koordinationsgruppen underretter årligt Rådet om kryptoprodukter, som den anbefaler en medlemsstats kryptogodkendelsesmyndighed at vurdere på grundlag af en undersøgelse gennemført i EU's institutioner og organer.

Artikel 43

Akkreditering af CIS'er, der håndterer og opbevarer EUCI

1.Ved akkreditering af CIS'er, der håndterer og opbevarer EUCI, bekræfter EU's institutioner og organer, at alle passende sikkerhedsforanstaltninger er blevet gennemført, og at der er opnået en tilstrækkelig grad af beskyttelse af EUCI og af CIS'et i overensstemmelse med denne forordning.

2.CIS-ejeren eller den operative informationssikringsmyndighed er ansvarlig for forberedelsen af akkrediteringssager og -dokumentation, herunder manualer målrettet forskellige brugerprofiler.

3.Hver EU-institutions og -organs sikkerhedsakkrediteringsmyndighed er ansvarlig for etablering af en akkrediteringsproces med klare betingelser, der skal godkendes, og som anvendes på alle CIS'er under deres myndighed.

4.Hvis et CIS, der håndterer og opbevarer EUCI, bruges af både EU-institutioner og ‑organer og nationale sikkerhedsmyndigheder, opretter de relevante EU-institutioner og -organer, i henhold til yderligere gennemførelsesbestemmelser, der vedtages i medfør af artikel 8, stk. 2, et fælles sikkerhedsakkrediteringsudvalg, der har ansvaret for CIS'ets akkreditering. Dette udvalg består af repræsentanter for de involverede parters sikkerhedsakkrediteringsmyndigheder og formandskabet varetages af sikkerhedsakkrediteringsmyndigheden i den EU-institution eller -organ, der ejer CIS'et.

Artikel 44

Akkrediteringsprocessen for CIS, der håndterer og opbevarer EUCI

1.Alle CIS'er, der håndterer og opbevarer EUCI, underkastes en akkrediteringsproces, som bygger på informationssikringsprincipperne, og hvis detaljeringsgrad svarer til den krævede beskyttelsesgrad.

2.Akkrediteringsprocessen resulterer i en akkrediteringsudredning, som fastsætter den højeste klassifikationsgrad for de informationer, der kan håndteres og opbevares i CIS'et, samt betingelserne og vilkårene herfor. Akkrediteringsudredningen er baseret på den formelle validering af risikovurderingen og de sikkerhedsforanstaltninger, der gennemføres for det pågældende CIS, med henblik på at opnå sikkerhed for:

a)at risikostyringsprocessen for informationssikkerhed er korrekt gennemført

b)at systemejeren eller risikoejeren bevidst har accepteret residualrisikoen 

c)at der er opnået et tilstrækkeligt beskyttelsesniveau for CIS'et og de EUCI, det håndterer og opbevarer, i overensstemmelse med denne forordning.

3.En EU-institutions eller -organs sikkerhedsakkrediteringsmyndighed validerer formelt akkrediteringsudredningen. Efter bekræftende validering udsteder sikkerhedsakkrediteringsmyndigheden en driftsgodkendelse, som fastsætter den højeste klassifikationsgrad for de informationer, der kan håndteres i CIS'et, samt betingelserne og vilkårene herfor. Godkendelsen udstedes for en bestemt periode. Hvis en eller flere af de krævede sikkerhedsforanstaltninger ikke er på plads, men dette ikke har væsentlige konsekvenser for den samlede sikkerhed, kan der udstedes en midlertidig driftsgodkendelse, der udpeger de punkter, der skal udbedres.

4.På ethvert tidspunkt i et CIS's livscyklus, kan den berørte EU-institutions eller ‑organs sikkerhedsakkrediteringsmyndighed iværksætte følgende tiltag:

a)gennemføre en akkrediteringsproces

b)foretage en revision eller inspektion af CIS'et

c)såfremt driftsbetingelserne ikke længere er opfyldt, f.eks. når en sikkerhedshændelse har afsløret en væsentlig sårbarhed i CIS'et, kræve, at der udarbejdes og effektivt gennemføres en plan for forbedring af sikkerheden inden for en fastsat frist, eventuelt med tilbagekaldelse af tilladelsen til at drive CIS, indtil driftsbetingelserne er opfyldt.

5.Systemejeren eller den operative informationssikringsmyndighed fremlægger hvert år i gyldighedsperioden for en driftsgodkendelse en formel rapport for sikkerhedsakkrediteringsmyndigheden, herunder et resumé af alle væsentlige hændelser, ændringer og risikofaktorer.

Artikel 45

Nødsituationer

1.EU's institutioner og organer kan anvende særlige procedurer for overførsel eller opbevaring af klassificerede EUCI i nødsituationer, f.eks. under forestående eller faktiske krise-, konflikt- eller krigssituationer eller under ekstraordinære operative forhold, efter godkendelse fra deres kryptogodkendelsesmyndighed.

2.Under de i stk. 1 nævnte omstændigheder kan EUCI overføres ved hjælp af kryptoprodukter, der er godkendt til en lavere klassifikationsgrad eller endda ukrypteret med den kompetente myndigheds godkendelse, hvis enhver forsinkelse ville forvolde en skade, der er langt alvorligere end den skade, som videregivelse af det klassificerede materiale ville forvolde, og på følgende betingelser:

a)afsender eller modtager har ikke de krævede krypteringsmidler 

b)det klassificerede materiale kan ikke sendes i tide med andre midler.

3.Klassificerede informationer, der overføres i overensstemmelse med stk. 2, må ikke være forsynet med nogen mærkning eller påtegning, der skiller dem ud fra informationer, der er uklassificerede, eller som kan beskyttes ved hjælp af et disponibelt kryptoprodukt. Modtagerne underrettes med andre midler straks om klassifikationsgraden.

4.En efterfølgende rapport om overførslen af EUCI under de i stk. 1 nævnte omstændigheder forelægges den relevante sikkerhedsmyndighed.

Afsnit 6
Industrisikkerhed

Artikel 46

Grundprincipper

1.Som kontraherende eller tilskudsgivende myndighed sikrer hver EU-institution eller ‑organ, at der henvises til minimumsstandarderne for industrisikkerhed i dette afsnit samt betingelserne for beskyttelse af EUCI i klassificerede kontrakter og tilskudsaftaler, jf. bilag V, eller at de indarbejdes i kontrakterne eller tilskudsaftalerne, og at de overholdes, når der tildeles klassificerede kontrakter eller tilskudsaftaler.

2.Ved industrisikkerhed forstås følgende personers eller enheders anvendelse af foranstaltninger til beskyttelse af EUCI:

a)under direkte forvaltning 30 , inden for rammerne af klassificerede kontrakter:

i)kandidater eller tilbudsgivere i løbet af hele udbuds- og kontraktindgåelsesproceduren

ii)kontrahenter eller underleverandører i løbet de klassificerede kontrakters livscyklus

b)under direkte forvaltning 31 , inden for rammerne af klassificerede tilskudsaftaler:

i)ansøgere i løbet af proceduren for tildeling af tilskud

ii)tilskudsmodtagere eller underleverandører i løbet af de klassificerede tilskudsaftalers livscyklus

c)under indirekte forvaltning, inden for rammerne af rammeaftaler om finansielt partnerskab og de dertil knyttede bidragsaftaler: de bemyndigede enheder i løbet af disse aftalers livscyklus.

3.Som bemyndigende enhed beskriver EU-institutionen eller -organet de specifikke sikkerhedskrav, der gælder for den bemyndigede enhed, i kapitlet om sikkerhed i rammeaftalen om finansielt partnerskab og den dertil knyttede bidragsaftale. Disse krav er baseret på sikkerhedsprincipperne og -bestemmelserne vedrørende klassificerede kontrakter og tilskudsaftaler i denne forordning, som finder tilsvarende anvendelse.

4.Klassificerede kontrakter eller klassificerede tilskudsaftaler må ikke indebære adgang til informationer, der er klassificeret TRES SECRET UE/EU TOP SECRET.

5.Bestemmelserne i dette kapitel vedrørende klassificerede kontrakter eller kontrahenter eller klassificerede tilskudsaftaler og tilskudsmodtagere finder også anvendelse på klassificerede underkontrakter og underleverandører i relation til henholdsvis klassificerede kontrakter eller tilskudsaftaler.

6.Som kontraherende eller tilskudsgivende myndighed arbejder EU's institutioner og organer tæt sammen med sikkerhedsmyndighederne og andre kompetente myndigheder i det land, hvor kontrahenten eller tilskudsmodtageren er registreret, og med sikkerhedsmyndigheden og andre kompetente myndigheder i den internationale organisation, der er kontraheret eller har fået tildelt et tilskud.

7.Som kontraherende eller tilskudsgivende myndighed kommunikerer EU's institutioner og organer med sikkerhedsmyndigheder eller andre kompetente myndigheder via deres egne sikkerhedsmyndigheder.

8.Som kontraherende eller tilskudsgivende myndighed underretter EU's institutioner og organer de i stk. 6 omhandlede myndigheder via deres egen sikkerhedsmyndighed, når en klassificeret kontrakt eller tilskudsaftale er blevet underskrevet.

Underretningen omfatter de relevante oplysninger såsom navnet på kontrahenten eller tilskudsmodtageren, kontraktens varighed og højeste klassifikationsgrad.

Som kontraherende eller tilskudsgivende myndighed underretter EU's institutioner og organer også de i stk. 6 omhandlede myndigheder, når en klassificeret kontrakt eller tilskudsaftale ophæves før tid.

9.Som kontraherende eller tilskudsgivende myndighed kan EU's institutioner og organer tildele klassificerede kontrakter eller klassificerede dele af tilskudsaftaler til enheder, der er registreret i tredjelande eller oprettet af en international organisation, som har indgået en informationssikkerhedsaftale med EU. Hvis de pågældende EUCI indeholder personoplysninger, foretages enhver overførsel af sådanne til et tredjeland eller en international organisation i overensstemmelse med forordning (EU) 2018/1725.

Artikel 47

Sikkerhedselementer i klassificerede kontrakter eller tilskudsaftaler

1.Klassificerede kontrakter eller tilskudsaftaler indeholder følgende sikkerhedselementer:

a)sikkerhedsklassifikationsvejledning

b)særlige sikkerhedsbetingelser.

2.Klassificerede kontrakter og tilskudsaftaler kan indeholde program- eller projektsikkerhedsinstruktioner.

Artikel 48

Sikkerhedsklassifikationsvejledning 

1.Inden underskrivelsen af en klassificeret kontrakt eller tilskudsaftale fastsætter EU-institutionen eller -organet som kontraherende eller tilskudsgivende myndighed sikkerhedsklassifikationsgraden for informationer, der udarbejdes af kontrahenter og tilskudsmodtagere eller af disses underleverandører. Med henblik herpå udarbejder EU-institutionen eller -organet en sikkerhedsklassifikationsvejledning, der skal anvendes ved opfyldelsen af den klassificerede kontrakt eller tilskudsaftale.

2.Sikkerhedsklassifikationsvejledningen kan ændres i hele programmets eller projektets løbetid, jf. artikel 50, samt i kontraktens eller tilskudsaftalens løbetid, og oplysningerne kan om- eller nedklassificeres. 

3.Til fastsættelse af klassifikationsgraden for de forskellige elementer i en klassificeret kontrakt eller tilskudsaftale anvendes følgende principper:

a)ved udarbejdelsen af en sikkerhedsklassifikationsvejledning skal EU-institutionen eller -organet som kontraherende eller tilskudsgivende myndighed tage hensyn til alle relevante sikkerhedsaspekter, herunder den klassifikationsgrad, der er tildelt informationer, som udstederen af informationerne har videregivet og godkendt til brug for den klassificerede kontrakt eller tilskudsaftale

b)den klassificerede kontrakts eller tilskudsaftales samlede klassifikationsgrad er ikke lavere end den højeste klassifikationsgrad for dens enkelte elementer 

c)hvis det er relevant, samarbejder EU-institutionen eller -organet som kontraherende eller tilskudsgivende myndighed via deres sikkerhedsmyndighed med sikkerhedsmyndighederne og andre kompetente myndigheder i det relevante land, når der foretages ændringer af sikkerhedsklassifikationsvejledningen.

Artikel 49

Særlige sikkerhedsbetingelser

1.Som kontraherende eller tilskudsgivende myndighed beskriver hver EU-institution eller -organ de specifikke sikkerhedskrav for den klassificerede kontrakt eller tilskudsaftale i et sæt særlige sikkerhedsbetingelser. De særlige sikkerhedsbetingelser indeholder, når det er relevant, sikkerhedsklassifikationsvejledningen og er en integrerende del af en klassificeret kontrakt, tilskudsaftale eller underkontrakt.

2.De særlige sikkerhedsbetingelser indeholder bestemmelser, der pålægger kontrahenten eller tilskudsmodtageren eller disses underleverandører at overholde bestemmelserne i denne forordning samt eventuelle yderligere gennemførelsesbestemmelser, der vedtages i medfør af artikel 8, stk. 2, om industrisikkerhed. Det fremgår tydeligt af de særlige sikkerhedsbetingelser, at manglende overholdelse af sådanne bestemmelser kan udgøre tilstrækkelig grund til ophævelse af den klassificerede kontrakt eller tilskudsaftale.

Artikel 50

Program- eller projektsikkerhedsinstruktioner 

1.EU's institutioner eller -organer kan som kontraherende eller tilskudsgivende myndighed i tæt samarbejde med deres sikkerhedsmyndigheder udarbejde program- eller projektsikkerhedsinstruktioner, navnlig for programmer og projekter der er kendetegnet ved at have en betydelig spændvidde, størrelse eller kompleksitet eller ved at have mange eller forskelligartede kontrahenter, tilskudsmodtagere og andre partnere og interessenter.

2.Sikkerhedsmyndigheden i en EU-institution og -organ, der agerer kontraherende eller tilskudsgivende myndighed, forelægger program- eller projektsikkerhedsinstruktioner for sit relevante rådgivende sikkerhedsorgan, der består af medlemsstaternes nationale sikkerhedsmyndigheder og/eller udpegede sikkerhedsmyndigheder, med henblik på rådgivning.

Hvis en EU-institution eller -organ ikke har et sådant rådgivende organ, forelægges program- eller projektsikkerhedsinstruktionerne for informationssikkerhedsudvalget, jf. artikel 6, stk. 8.

Afsnit 7
Deling af EUCI og udveksling af klassificerede informationer

Artikel 51

Grundprincipper

1.EU's institutioner og organer kan dele EUCI med andre EU-institutioner og organer, jf. betingelserne i artikel 54.

2.EU's institutioner og organer kan dele EUCI med medlemsstaterne og Det Europæiske Atomenergifællesskab, forudsat at de beskytter disse informationer i overensstemmelse med den tilsvarende klassifikationsmærkning fastsat i aftalen mellem Den Europæiske Unions medlemsstater, forsamlet i Rådet, om beskyttelse af klassificerede informationer, der udveksles i Den Europæiske Unions interesse, og den dertilhørende ækvivalenstabel i bilag VI til denne forordning.  

3.EU's institutioner og organer udveksler kun klassificerede informationer med tredjelande eller internationale organisationer, som der er indgået en informationssikkerhedsaftale eller en administrativ ordning med, jf. artikel 55 og 56.

Informationssikkerhedsaftaler eller administrative ordninger indeholder bestemmelser, der sikrer, at tredjelande eller internationale organisationer, når de modtager EUCI, sikkerhedsbeskytter sådanne informationer i overensstemmelse med informationernes klassifikationsgrad og i henhold til minimumsstandarder, som mindst svarer til de standarder, der er fastlagt i denne forordning.

4.Hvis der ikke er indgået en informationssikkerhedsaftale eller en administrativ ordning, kan EU-institutionen eller -organet i særlige tilfælde videregive EUCI til en anden EU-institution eller -organ, et tredjeland eller en international organisation i overensstemmelse med artikel 58.

5.EU's institutioner og organer udpeger de arkiver, der tjener som hovedkanal for ind- og udgående deling af EUCI, som deles med andre EU-institutioner og -organer, eller klassificerede informationer, som udveksles med tredjelande eller internationale organisationer.  

Artikel 52

Undergruppen om deling af EUCI og udveksling af klassificerede informationer

1.Undergruppen om deling af EUCI og udveksling af klassificerede informationer, jf. artikel 7, stk. 1, litra e), har følgende roller og ansvarsområder:

a)arrangere vurderingsbesøg i EU's institutioner og organer, tredjelande og internationale organisationer samt vedtage årsprogrammet for besøgene

b)forberede og gennemføre vurderingsbesøgene

c)udarbejde en rapport om de i litra a) omhandlede besøg, 

undtagen i de tilfælde, der er omhandlet i artikel 56, stk. 2.

2.Undergruppen om deling af EUCI og udveksling af klassificerede informationer består af repræsentanter for Kommissionen, Rådet og Tjenesten for EU's Optræden Udadtil og arbejder på grundlag af konsensus. 

Artikel 53

Vurderingsbesøg i forbindelse med deling af EUCI

1.Undergruppen om deling af EUCI og udveksling af klassificerede informationer gennemfører vurderingsbesøg i fuldt samarbejde med de ansatte i den EU-institution eller -organ, der besøges. Den kan søge bistand hos den nationale sikkerhedsmyndighed, på hvis område EU-institutionen eller -organet er beliggende.

2.Vurderingsbesøgene i de berørte EU-institutioner og -organer tjener følgende formål:

a)at kontrollere om kravene til beskyttelse af EUCI i denne forordning er overholdt, og dermed om de gennemførte foranstaltninger er effektive

b)at understrege betydningen af sikkerhed og effektiv risikostyring i den besøgte enhed

c)at anbefale modforanstaltninger for at afbøde de specifikke virkninger i tilfælde af tab af klassificerede informationers tilgængelighed, fortrolighed eller integritet 

d)at styrke sikkerhedsmyndighedernes løbende sikkerhedsuddannelses- og bevidstgørelsesprogrammer.

3.Ved afslutningen af hvert besøg udfører undergruppen om deling af EUCI og udveksling af klassificerede informationer følgende opgaver:

a)udarbejder en rapport om vurderingens hovedkonklusioner

b)anmoder informationssikkerhedsudvalget, jf. artikel 6, stk. 8, om en udtalelse om rapporten

c)sender rapporten til den besøgte EU-institutions eller -organs sikkerhedsmyndighed med henblik på opfølgning.

4.Hvis der i rapporten foreslås korrigerende foranstaltninger eller fremsættes anbefalinger, arrangeres der et opfølgningsbesøg med henblik på at verificere, om disse tiltag eller anbefalinger er gennemført.

Artikel 54

Deling af EUCI

1.En EU-institution eller -organ kan dele EUCI med en anden EU-institution eller ‑organ, hvis følgende betingelser er opfyldt:

a)der er et dokumenteret behov for udvekslingen

b)der er gennemført et vurderingsbesøg i den berørte EU-institution eller -organ i overensstemmelse med artikel 53, og resultatet af dette bekræfter, at den pågældende EU-institution eller -organ har kapacitet til at håndtere og opbevare en bestemt grad af EUCI

c)den berørte EU-institutions eller -organs sikkerhedsmyndighed beslutter, at den kan dele informationer, der er klassificeret op til en bestemt grad med andre EU-institutioner og -organer, der er autoriseret til samme grad.

2.Koordinationsgruppens sekretariat udarbejder en liste over EUCI-grader, der kan håndteres og opbevares af hver EU-institution og -organ, der opfylder betingelserne i stk. 1, litra b) og c).  Denne liste ajourføres regelmæssigt. 

Artikel 55

Informationssikkerhedsaftaler

1.Hvis det er nødvendigt at udveksle informationer med et tredjeland eller en international organisation på længere sigt, forsøger den kompetente EU-institution eller -organ at forhandle og indgå en informationssikkerhedsaftale, jf. artikel 218 i traktaten om Den Europæiske Unions funktionsmåde.

2.En informationssikkerhedsaftale fastlægger grundprincipperne og minimumsstandarderne for udveksling af klassificerede informationer mellem EU og et tredjeland eller en international organisation.

3.Informationssikkerhedsaftaler indeholder bestemmelser om tekniske gennemførelsesordninger, der aftales mellem de kompetente sikkerhedsmyndigheder i de relevante EU-institutioner og -organer og den kompetente sikkerhedsmyndighed i det pågældende tredjeland eller internationale organisation.

4.Inden de tekniske gennemførelsesordninger i stk. 3 godkendes, gennemfører undergruppen om deling af EUCI og udveksling af klassificerede informationer et vurderingsbesøg i overensstemmelse med artikel 57.

Artikel 56

Administrative ordninger med tredjelande og internationale organisationer

1.Hvis en EU-institutions eller -organs forretningsorden eller oprettelsesretsakt giver mulighed for det, kan EU-institutionen eller -organet efter at have underrettet undergruppen om deling af EUCI og udveksling af klassificerede informationer lave en administrativ ordning med deres modparter i et tredjeland eller en international organisation, forudsat at følgende betingelser er opfyldt:

a)den pågældende EU-institution eller -organ har behov for på længere sigt at udveksle klassificerede informationer, dog som hovedregel ikke højere end klassifikationsgraden RESTREINT UE/EU RESTRICTED, med sin modpart i et tredjeland eller en international organisation

b)den pågældende EU-institution eller -organ opfylder betingelserne i artikel 54, stk. 1

c)rapporten fra vurderingsbesøget, jf. artikel 57, bekræfter, at den relevante modpart i det pågældende tredjeland eller internationale organisation har kapacitet til at håndtere og opbevare en bestemt grad af EUCI.

2.Inden der laves en administrativ ordning, gennemføres der et vurderingsbesøg i overensstemmelse med artikel 57. En EU-institution eller -organ, der ønsker at lave en administrativ ordning, kan anmode undergruppen om deling af EUCI og udveksling af klassificerede informationer om at gennemføre vurderingsbesøget på EU-institutionens eller -organets vegne eller om at deltage i besøget. 

3.Sikkerhedsmyndigheden i en EU-institution eller -organ, der ønsker at lave en administrativ ordning, fastsætter eventuelle specifikke betingelser for udvekslingen samt den højeste klassifikationsgrad for de EUCI, der kan udveksles. Denne klassifikationsgrad er ikke højere end den, der er fastsat for deling af EUCI med andre EU-institutioner og -organer, jf. artikel 54, og bør i givet fald ikke være højere end den, der er fastsat i en informationssikkerhedsaftale indgået med samme tredjeland eller internationale organisation.  

Artikel 57

Vurderingsbesøg med henblik på udveksling af klassificerede informationer med tredjelande og internationale organisationer

1.Vurderingsbesøg i et tredjeland eller en international organisation gennemføres med henblik på at fastslå, om en EU-institution eller -organ kan udveksle klassificerede informationer med det pågældende tredjelande eller den pågældende internationale organisation.

2.Formålet med vurderingsbesøget er at vurdere effektiviteten af sikkerhedsreglerne og ‑procedurerne i det pågældende tredjeland eller internationale organisation for så vidt angår beskyttelse af EUCI med en bestemt klassifikationsgrad. Vurderingsbesøget gennemføres efter gensidig aftale med det pågældende tredjeland eller internationale organisation.

3.I forbindelse med vurderingsbesøgene evalueres som minimum følgende:

a)regelsættet for sikkerhedsbeskyttelsen af klassificerede informationer og dets tilstrækkelighed med henblik på beskyttelse af EUCI med en bestemt klassifikationsgrad

b)de særlige kendetegn ved sikkerhedspolitikken og den måde, hvorpå sikkerheden er organiseret i tredjelandet eller den internationale organisation, som kan have indflydelse på klassifikationsgraden for de informationer, der kan udveksles

c)de sikkerhedsforanstaltninger og -procedurer, der reelt er indført 

d)sikkerhedsgodkendelsesprocedurerne i forbindelse med klassifikationsgraden for de EUCI, der skal videregives.

4.Det i artikel 6, stk. 8, omhandlede informationssikkerhedsudvalg forelægges en rapport om resultaterne af sådanne besøg, inden EUCI rent faktisk videregives til det pågældende tredjeland eller den pågældende internationale organisation. Hvis det er relevant, deles rapporten også med den berørte EU-institution eller -organ.

5.De berørte EU-institutioners og -organers sikkerhedsmyndigheder meddeler tredjelandet eller den internationale organisation den dato, fra hvilken den er i stand til at udveksle EUCI, samt den højeste klassifikationsgrad for de EUCI, der kan udveksles i papirkopi eller elektronisk form.

6.Der arrangeres opfølgningsbesøg, hvis følgende betingelser er opfyldt:

a)det er nødvendigt at hæve den højeste klassifikationsgrad for de EUCI, der kan udveksles

b)den berørte EU-institution eller -organ er blevet underrettet om grundlæggende ændringer i tredjelandets eller den internationale organisations sikkerhedsordninger, der kan have indvirkning på, hvorledes EUCI beskyttes 

c)der har fundet en alvorlig informationssikkerhedshændelse sted, som omfatter uautoriseret videregivelse af EUCI.  

Artikel 58

Ekstraordinær ad hoc-videregivelse af EUCI

1.Hvis der ikke er indgået en informationssikkerhedsaftale eller en administrativ ordning, og hvis en EU-institution eller -organ fastslår, at der er et ekstraordinært behov for at videregive EUCI til en anden EU-institution eller -organ, et tredjeland eller en international organisation, eller

hvis der er indgået en informationssikkerhedsaftale eller en administrativ ordning, og en EU-institution eller -organ fastslår, at der er et ekstraordinært behov for at videregive EUCI, der er klassificeret højere end allerede fastsat i aftalen eller ordningen, tager EU-institutionen eller -organet, der videregiver EUCI, følgende skridt:

a)så vidt det er muligt, verificeres det hos sikkerhedsmyndighederne i tredjelandet, den internationale organisation eller den modtagende EU-institution eller -organ, at deres sikkerhedsregler, -strukturer og -procedurer kan sikre beskyttelse af de EUCI, der videregives, beskyttes efter standarder, der er lige så høje som standarderne i denne forordning

b)informationssikkerhedsudvalget, jf. artikel 6, stk. 8, anmodes om en udtalelse på baggrund af den verifikation, der er gennemført i medfør af litra a), medmindre ekstraordinære operative forhold kræver omgående ad hoc-videregivelse; i så fald underrettes informationssikkerhedsudvalget efterfølgende.

2.Alle dokumenter, der videregives i medfør af denne artikel forsynes med en videregivelsesmærkning, der angiver det tredjeland, internationale organisation eller EU-institution eller -organ, som de videregives til.

3.Inden eller ved den faktiske videregivelse indhenter den EU-institution eller -organ, der videregiver EUCI, skriftligt tilsagn fra den modtagende part om, at denne vil beskytte de EUCI, denne modtager.  I givet fald anmodes den modtagende part om at give tilsagn om at beskytte de pågældende EUCI i overensstemmelse med grundprincipperne og minimumsstandarderne i denne forordning.

Kapitel 6
Afsluttende bestemmelser

Artikel 59

Gennemførelse

1.Koordinationsgruppen udarbejder informationssikkerhedsvejledninger til gennemførelse af denne forordning.

2.Med udgangspunkt i egne specifikke behov kan EU's institutioner og organer vedtage interne regler om gennemførelsen af denne forordning, jf. artikel 8, stk. 2.

Artikel 60

Overgangsbestemmelser

1.De interne regler om gennemførelsen af denne forordning vedtages af den enkelte EU-institution eller -organ inden den ¨[dd/mm/yyyy date of application] og revideres senest [3 years after the entry into force of this Regulation].

2.Alle EU-institutioner og -organer, der af enten Kommissionen, Rådet eller Tjenesten for EU's Optræden Udadtil inden den [dd/mm/yyyy date of applicability] er vurderet egnet til at håndtere og opbevare EUCI, anses for at opfylde betingelserne i artikel 19, stk. 1.

3.Administrative ordninger indgået af EU's institutioner og organer med tredjelande eller internationale organisationer inden den [dd/mm/yyyy date of application] er fortsat gyldige.

4.Hvis de medlemsstater, på hvis område tilskudsmodtagere i henhold til en tilskudsaftale indgået af Kommissionen inden for rammerne af programmet for udvikling af den europæiske forsvarsindustri, har besluttet at oprette en særlig sikkerhedsramme for beskyttelse og håndtering af nationalt klassificerede informationer, der er omfattet af den pågældende tilskudsaftale, respekterer Kommissionen, når den anvender de i denne forordning fastsatte industrisikkerhedsprocedurer, nævnte sikkerhedsramme frem til udløbet af tilskudsaftalen.

Artikel 61

Overvågning og evaluering

1.Senest [dd/mm/yyyy 3 years after the date of application] forelægger Kommissionen en rapport om gennemførelsen af denne forordning for Europa-Parlamentet og Rådet.

2.Tidligst [5 years after the date of application] og derefter hvert femte år foretager Kommissionen en evaluering af denne forordning og forelægger en rapport om de vigtigste konklusioner for Europa-Parlamentet og Rådet.

Artikel 62

Ikrafttræden og anvendelse

1.Denne forordning træder i kraft på tyvendedagen efter offentliggørelsen i Den Europæiske Unions Tidende.

2.Den anvendes fra den [date: the first day of the month following the period of 2 year after the date of entry into force].

Denne forordning er bindende i alle enkeltheder og gælder umiddelbart i hver medlemsstat.

Udfærdiget i Bruxelles, den […].

FINANSIERINGSOVERSIGT

1.FORSLAGETS/INITIATIVETS RAMME

1.1.Forslagets/initiativets betegnelse

1.2.Berørt(e) politikområde(r)

1.3.Forslaget/initiativet vedrører:

1.4.Mål

1.4.1.Generelt/generelle mål

1.4.2.Specifikt/specifikke mål

1.4.3.Forventet/forventede resultat(er) og virkning(er)

1.4.4.Resultatindikatorer

1.5.Begrundelse for forslaget/initiativet

1.5.1.Behov, der skal opfyldes på kort eller lang sigt, herunder en detaljeret tidsplan for iværksættelsen af initiativet

1.5.2.Merværdien ved et EU-tiltag (f.eks. som følge af koordineringsfordele, retssikkerhed, større effekt eller komplementaritet). Ved "merværdien ved et EU-tiltag" forstås her merværdien af EU's intervention i forhold til den værdi, som medlemsstaterne ville have skabt enkeltvis

1.5.3.Erfaringer fra tidligere foranstaltninger af lignende art

1.5.4.Forenelighed med den flerårige finansielle ramme og mulige synergivirkninger med andre relevante instrumenter

1.5.5.Vurdering af de forskellige finansieringsmuligheder, der er til rådighed, herunder muligheden for omfordeling

1.6.Forslagets/initiativets varighed og finansielle virkninger

1.7.Planlagt(e) forvaltningsmetode(r)

2.FORVALTNINGSFORANSTALTNINGER

2.1.Bestemmelser om overvågning og rapportering

2.2.Forvaltnings- og kontrolsystem(er)

2.2.1.Begrundelse for den/de foreslåede forvaltningsmetode(r), finansieringsmekanisme(r), betalingsvilkår og kontrolstrategi

2.2.2.Oplysninger om de konstaterede risici og det/de interne kontrolsystem(er), der etableres for at afbøde dem

2.2.3.Vurdering af og begrundelse for kontrolforanstaltningernes omkostningseffektivitet (forholdet mellem kontrolomkostningerne og værdien af de forvaltede midler) samt vurdering af den forventede risiko for fejl (ved betaling og ved afslutning)

2.3.Foranstaltninger til forebyggelse af svig og uregelmæssigheder

3.FORSLAGETS/INITIATIVETS ANSLÅEDE FINANSIELLE VIRKNINGER

3.1.Berørt(e) udgiftsområde(r) i den flerårige finansielle ramme og udgiftspost(er) på budgettet

3.2.Forslagets anslåede finansielle virkninger for bevillingerne

3.2.1.Sammenfatning af de anslåede virkninger for aktionsbevillingerne

3.2.2.Anslåede resultater finansieret med aktionsbevillinger

3.2.3.Sammenfatning af de anslåede virkninger for administrationsbevillingerne

3.2.4.Forenelighed med indeværende flerårige finansielle ramme

3.2.5.Bidrag fra tredjemand

3.3.Anslåede virkninger for indtægterne

FINANSIERINGSOVERSIGT

1.FORSLAGETS/INITIATIVETS RAMME 

1.1.Forslagets/initiativets betegnelse

1.2.Berørt(e) politikområde(r) 

1.3.Forslaget/initiativet vedrører: 

 en ny foranstaltning 

◻ en ny foranstaltning som opfølgning på et pilotprojekt/en forberedende foranstaltning 32  

◻ en forlængelse af en eksisterende foranstaltning 

◻ en sammenlægning eller en omlægning af en eller flere foranstaltninger til en anden/en ny foranstaltning 

1.4.Mål

1.4.1.Generelt/generelle mål

1.4.2.Specifikt/specifikke mål

1.4.3.Forventet/forventede resultat(er) og virkning(er)

Angiv, hvilke virkninger forslaget/initiativet forventes at få for modtagerne/målgrupperne.

–gennemgang af deres interne regler og procedurer med det formål at tilpasse dem forordningen

–kategorisering af alle informationer, der håndteres, i henhold til de regler, der fastsættes ved denne forordning

–sikring af, at deres CIS'er overholder kravene i denne forordning

–deltagelse i den interinstitutionelle koordinationsgruppe om informationssikkerhed ("koordinationsgruppen").

1.4.4.Resultatindikatorer

Angiv indikatorerne til overvågning af fremskridt og resultater.

–Vedtagelse af egnede retningslinjer

–Gennemførelse af nye mærkninger

–Offentliggørelse af ajourførte håndteringsinstrukser for alle kategorier af informationer

–Gennemførelse af fælles systemer til håndtering af følsomme ikkeklassificerede informationer og EUCI

–Antallet af fremsatte/gennemførte anbefalinger

–Antallet af informationslæk på tværs af EU's institutioner og organer

–Statistikker om centraliserede versus lokale indkøb

–Inspektionsrapporter

–Antallet af behandlede forespørgsler i sekretariat for koordinationsgruppen om informationssikkerhed

–Antallet af brugere, der er i gang med uddannelse

–Personalets kendskab til informationssikkerhedsreglerne

–Procentandelen af personalet, der kan arbejde med sikkert telearbejdsudstyr

1.5.Begrundelse for forslaget/initiativet 

1.5.1.Behov, der skal opfyldes på kort eller lang sigt, herunder en detaljeret tidsplan for iværksættelsen af initiativet

–2022/2023: vedtagelse af forordningen, ikrafttrædelse

–2024/2025: alle EU's institutioner og organer gennemgår deres egne interne regler om informationssikkerhed med det formål at tilpasse dem forordningen

–2025: organisatorisk arbejde vedrørende oprettelsen af koordinationsgruppen og dens sekretariat samt de tekniske undergrupper

–2024/2025: anvendelse af forordningen

–2025/2026: vedtagelse af koordinationsgruppens og de tekniske undergruppers forretningsorden

–2026-2028: udarbejdelse af vejledende dokumenter til støtte for gennemførelsen af forordningen, udveksling af bedste praksis på tværs af EU's institutioner og organer

–2029/2030: forberedelse af første evaluering af forordningen (hvert femte år efter datoen for anvendelse)

–2030: første evaluering af forordningen

1.5.2.Merværdien ved et EU-tiltag (f.eks. som følge af koordineringsfordele, retssikkerhed, større effekt eller komplementaritet). Ved "merværdien ved et EU-tiltag" forstås her merværdien af EU's intervention i forhold til den værdi, som medlemsstaterne ville have skabt enkeltvis

1.5.3.Erfaringer fra tidligere foranstaltninger af lignende art

1.5.4.Forenelighed med den flerårige finansielle ramme og mulige synergivirkninger med andre relevante instrumenter

1.5.5.Vurdering af de forskellige finansieringsmuligheder, der er til rådighed, herunder muligheden for omfordeling

1.6.Forslagets/initiativets varighed og finansielle virkninger

◻ Begrænset varighed

–◻    gældende fra [DD/MM]ÅÅÅÅ til [DD/MM]ÅÅÅÅ

–◻    finansielle virkninger fra ÅÅÅÅ til ÅÅÅÅ for forpligtelsesbevillinger og fra ÅÅÅÅ til ÅÅÅÅ for betalingsbevillinger

– Ubegrænset varighed

1.7.Planlagt(e) forvaltningsmetode(r) 33   

  Direkte forvaltning ved Kommissionen og ved hver EU-institution og organ

– i dens tjenestegrene, herunder ved dens personale i EU's delegationer

–◻    i forvaltningsorganerne

◻ Delt forvaltning i samarbejde med medlemsstaterne

◻ Indirekte forvaltning ved at overlade budgetgennemførelsesopgaver til:

–◻ tredjelande eller organer, som tredjelande har udpeget

–◻ internationale organisationer og deres agenturer (angives nærmere)

–◻ Den Europæiske Investeringsbank og Den Europæiske Investeringsfond

–◻ de organer, der er omhandlet i finansforordningens artikel 70 og 71

–◻ offentligretlige organer

–◻ privatretlige organer, der har fået overdraget offentlige tjenesteydelsesopgaver, i det omfang de har fået stillet tilstrækkelige finansielle garantier til rådighed

–◻ privatretlige organer, undergivet lovgivningen i en medlemsstat, som har fået overdraget gennemførelsen af et offentlig-privat partnerskab, og som har fået stillet tilstrækkelige finansielle garantier til rådighed

–◻ personer, der har fået overdraget gennemførelsen af specifikke aktioner i den fælles udenrigs- og sikkerhedspolitik i henhold til afsnit V i traktaten om Den Europæiske Union, og som er anført i den relevante basisretsakt

–Hvis der angives flere forvaltningsmetoder, gives der en nærmere forklaring i afsnittet "Bemærkninger".

Bemærkninger

2.FORVALTNINGSFORANSTALTNINGER 

2.1.Bestemmelser om overvågning og rapportering 

Angiv hyppighed og betingelser.

2.2.Forvaltnings- og kontrolsystem(er) 

2.2.1.Begrundelse for den/de foreslåede forvaltningsmetode(r), finansieringsmekanisme(r), betalingsvilkår og kontrolstrategi

2.2.2.Oplysninger om de konstaterede risici og det/de interne kontrolsystem(er), der etableres for at afbøde dem

2.2.3.Vurdering af og begrundelse for kontrolforanstaltningernes omkostningseffektivitet (forholdet mellem kontrolomkostningerne og værdien af de forvaltede midler) samt vurdering af den forventede risiko for fejl (ved betaling og ved afslutning) 

2.3.Foranstaltninger til forebyggelse af svig og uregelmæssigheder 

Angiv eksisterende eller påtænkte forebyggelses- og beskyttelsesforanstaltninger, f.eks. fra strategien til bekæmpelse af svig.

3.FORSLAGETS/INITIATIVETS ANSLÅEDE FINANSIELLE VIRKNINGER 

3.1.Berørt(e) udgiftsområde(r) i den flerårige finansielle ramme og udgiftspost(er) på budgettet 

·Eksisterende budgetposter

I samme rækkefølge som udgiftsområderne i den flerårige finansielle ramme og budgetposterne.

·Nye budgetposter, som der anmodes om

I samme rækkefølge som udgiftsområderne i den flerårige finansielle ramme og budgetposterne.

3.2.Forslagets anslåede finansielle virkninger for bevillingerne 

3.2.1.Sammenfatning af de anslåede virkninger for aktionsbevillingerne 

–    Forslaget/initiativet medfører ikke anvendelse af aktionsbevillinger

–        Forslaget/initiativet medfører anvendelse af aktionsbevillinger som anført herunder:

i mio. EUR (tre decimaler)

GD: <…….>				År  n 37	År  n+1	År  n+2	År  n+3	Indsæt så mange år som nødvendigt for at vise virkningernes varighed (jf. punkt 1.6)			I ALT
•Aktionsbevillinger
Budgetpost 38	Forpligtelser	(1a)
	Betalinger	(2a)
Budgetpost	Forpligtelser	(1b)
	Betalinger	(2b)
Administrationsbevillinger finansieret over bevillingsrammen for særprogrammer 39
Budgetpost		(3)
Bevillinger I ALT  til GD <…….>	Forpligtelser	=1a+1b+3
	Betalinger	=2a+2b +3

Hvis flere aktionsrelaterede udgiftsområder berøres af forslaget/initiativet, indsættes der et tilsvarende afsnit for hvert udgiftsområde

Dette afsnit skal udfyldes ved hjælp af arket vedrørende administrative budgetoplysninger, der først skal indføres i bilaget til finansieringsoversigten (bilag V til de interne regler), som uploades til DECIDE med henblik på høring af andre tjenestegrene.

i mio. EUR (tre decimaler)

Bevillinger I ALT  under UDGIFTSOMRÅDE 7  i den flerårige finansielle ramme

(Forpligtelser i alt = betalinger i alt)

0,314

0,314

0,314

0,314

0,314

1,570

EUR (tre decimaler)

3.2.2.Anslåede resultater finansieret med aktionsbevillinger 

Forpligtelsesbevillinger i mio. EUR (tre decimaler)

3.2.3.Sammenfatning af de anslåede virkninger for administrationsbevillingerne 

–◻    Forslaget/initiativet medfører ikke anvendelse af administrationsbevillinger

–    Forslaget/initiativet medfører anvendelse af administrationsbevillinger som anført herunder:

i mio. EUR (tre decimaler)

UDGIFTSOMRÅDE 7  i den flerårige finansielle ramme
Menneskelige ressourcer	0,314	0,314	0,314	0,314	0,314	1,570
Andre administrationsudgifter
Subtotal UDGIFTSOMRÅDE 7  i den flerårige finansielle ramme	0,314	0,314	0,314	0,314	0,314	1,570

Uden for UDGIFTSOMRÅDE 7 42    i den flerårige finansielle ramme
Menneskelige ressourcer
Andre  administrationsudgifter
Subtotal  uden for UDGIFTSOMRÅDE 7  i den flerårige finansielle ramme

Bevillingerne til menneskelige ressourcer og andre administrationsudgifter vil blive dækket ved hjælp af de bevillinger, som generaldirektoratet allerede har afsat til forvaltning af foranstaltningen, og/eller ved intern omfordeling i generaldirektoratet, eventuelt suppleret med yderligere bevillinger, som tildeles det ansvarlige generaldirektorat i forbindelse med den årlige tildelingsprocedure under hensyntagen til de budgetmæssige begrænsninger.

3.2.3.1.Anslået behov for menneskelige ressourcer

–◻    Forslaget/initiativet medfører ikke anvendelse af menneskelige ressourcer

–Forslaget/initiativet medfører anvendelse af menneskelige ressourcer som anført herunder:

Overslag angives i årsværk

XX angiver det berørte politikområde eller budgetafsnit.

Personalebehovet vil blive dækket ved hjælp af det personale, som generaldirektoratet allerede har afsat til forvaltning af foranstaltningen, og/eller ved interne rokader i generaldirektoratet, eventuelt suppleret med yderligere bevillinger, som tildeles det ansvarlige generaldirektorat i forbindelse med den årlige tildelingsprocedure under hensyntagen til de budgetmæssige begrænsninger.

Opgavebeskrivelse:

3.2.4.Forenelighed med indeværende flerårige finansielle ramme 

Forslaget/initiativet:

–    kan finansieres fuldt ud gennem omfordeling inden for det relevante udgiftsområde i den flerårige finansielle ramme (FFR)

–◻    kræver anvendelse af den uudnyttede margen under det relevante udgiftsområde i FFR og/eller anvendelse af særlige instrumenter som fastlagt i FFR-forordningen

–◻    kræver en revision af FFR

3.2.5.Bidrag fra tredjemand 

Forslaget/initiativet:

–    indeholder ikke bestemmelser om samfinansiering med tredjemand

–◻    indeholder bestemmelser om samfinansiering med tredjemand, jf. følgende overslag:

Bevillinger i mio. EUR (tre decimaler)

 
Bemærkning: Forslaget vil intensivere det nuværende samarbejde om informationssikkerhed ved hjælp af serviceleveranceaftaler.

3.3.Anslåede virkninger for indtægterne 

–Forslaget/initiativet har ingen finansielle virkninger for indtægterne

–◻    Forslaget/initiativet har følgende finansielle virkninger:

for egne indtægter

for andre indtægter

Angiv, om indtægterne er formålsbestemte

i mio. EUR (tre decimaler)

For indtægter, der er formålsbestemte, angives det, hvilke af budgettets udgiftsposter der berøres.

Andre bemærkninger (f.eks. om hvilken metode, der er benyttet til at beregne virkningerne for indtægterne).

(1)    Meddelelse om strategien for EU's sikkerhedsunion, den strategiske prioritet "Et fremtidssikret sikkerhedsmiljø" (COM(2020) 605 af 24. juli 2020).

(2)    EUCO 9/19.

(3)    14972/19.

(4)    WK 10563/2018 INIT, afsnit 9.

(5)    Europa-Parlamentets og Rådets direktiv (EU) 2016/1148 af 6. juli 2016 om foranstaltninger, der skal sikre et højt fælles sikkerhedsniveau for net- og informationssystemer i hele Unionen (EUT L 194 af 19.7.2016, s. 1).

(6)    COM(2020) 605.

(7)    EU's strategi for cybersikkerhed for det digitale årti | Europas digitale fremtid i støbeskeen (europa.eu), inklusive en fælles meddelelse med Unionens højtstående repræsentant for udenrigsanliggender og sikkerhedspolitik og næstformand for Kommissionen (JOIN(2020) 18) samt et forslag til revision af direktivet om net- og informationssystemer (COM(2020) 823).

(8)    Europa-Parlamentets og Rådets forordning (EU) 2018/1725 af 23. oktober 2018 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i Unionens institutioner, organer, kontorer og agenturer og om fri udveksling af sådanne oplysninger og om ophævelse af forordning (EF) nr. 45/2001 og afgørelse nr. 1247/2002/EF (EUT L 295 af 21.11.2018, s. 39).

(9)    Europa-Parlamentets og Rådets forordning (EF) nr. 1049/2001 af 30. maj 2001 om aktindsigt i Europa-Parlamentets, Rådets og Kommissionens dokumenter (EFT L 145 af 31.5.2001, s. 43).

(10)    Den Europæiske Unions charter om grundlæggende rettigheder (EUT C 326 af 26.10.2012, s. 391).

(11)    Artikel 41 i Den Europæiske Unions charter om grundlæggende rettigheder.

(12)    Artikel 8 i Den Europæiske Unions charter om grundlæggende rettigheder.

(13)    Artikel 42 i Den Europæiske Unions charter om grundlæggende rettigheder.

(14)    Artikel 17 i Den Europæiske Unions charter om grundlæggende rettigheder.

(15)    Europa-Parlamentets og Rådets direktiv 2001/29/EF af 22. maj 2001 om harmonisering af visse aspekter af ophavsret og beslægtede rettigheder i informationssamfundet (EFT L 167 af 22.6.2001, s. 10).

(16)    Artikel 11 i Den Europæiske Unions charter om grundlæggende rettigheder.

(17)    Forordning nr. 3 om anvendelse af artikel 24 i traktaten om oprettelse af Det Europæiske Atomenergifællesskab (EFT 17 af 6.10.1958, s. 406).

(18)    EFT 45 af 14.6.1962, s. 1385.

(19)    Europa-Parlamentets og Rådets forordning (EF) nr. 1049/2001 af 30. maj 2001 om aktindsigt i Europa-Parlamentets, Rådets og Kommissionens dokumenter (EFT L 145 af 31.5.2001, s. 43).

(20)    Europa-Parlamentets og Rådets forordning (EU) 2018/1725 af 23. oktober 2018 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i Unionens institutioner, organer, kontorer og agenturer og om fri udveksling af sådanne oplysninger og om ophævelse af forordning (EF) nr. 45/2001 og afgørelse nr. 1247/2002/EF (EUT L 295 af 21.11.2018, s. 39).

(21)    Rådets forordning (EØF, Euratom) nr. 354/83 af 1. februar 1983 om åbning for offentligheden af de historiske arkiver for Det europæiske økonomiske Fællesskab og Det europæiske Atomenergifællesskab (EFT L 43 af 15.2.1983, s. 1).

(22)    Europa-Parlamentets og Rådets forordning (EU, Euratom) 2018/1046 af 18. juli 2018 om de finansielle regler vedrørende Unionens almindelige budget, om ændring af forordning (EU) nr. 1296/2013, (EU) nr. 1301/2013, (EU) nr. 1303/2013, (EU) nr. 1304/2013, (EU) nr. 1309/2013, (EU) nr. 1316/2013, (EU) nr. 223/2014, (EU) nr. 283/2014 og afgørelse nr. 541/2014/EU og om ophævelse af forordning (EU, Euratom) nr. 966/2012 (EUT L 193 af 30.7.2018, s. 1).

(23)    Europa-Parlamentets og Rådets forordning (EU) 2021/697 af 29. april 2021 om oprettelse af Den Europæiske Forsvarsfond og om ophævelse af forordning (EU) 2018/1092 (EUT L 170 af 12.5.2021, s. 149).

(24)    Europa-Parlamentets og Rådets forordning […] om foranstaltninger til sikring af et højt fælles cybersikkerhedsniveau i EU's institutioner, organer, kontorer og agenturer, endnu ikke vedtaget.

(25)    Euratom Rådet: Forordning nr. 3 om anvendelse af artikel 24 i traktaten om oprettelse af Det Europæiske Atomenergifællesskab (EFT 17 af 6.10.1958, s. 406).

(26)    Interinstitutionel aftale mellem Europa-Parlamentet, Rådet for Den Europæiske Union og Europa-Kommissionen om bedre lovgivning (EUT L 123 af 12.5.2016, s. 1).

(27)    Europa-Parlamentets og Rådets forordning (EU) 2018/1725 af 23. oktober 2018 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i Unionens institutioner, organer, kontorer og agenturer og om fri udveksling af sådanne oplysninger og om ophævelse af forordning (EF) nr. 45/2001 og afgørelse nr. 1247/2002/EF (EUT L 295 af 21.11.2018, s. 39).

(28)    Europa-Parlamentets og Rådets forordning (EU) 2019/881 af 17. april 2019 om ENISA (Den Europæiske Unions Agentur for Cybersikkerhed), om cybersikkerhedscertificering af informations- og kommunikationsteknologi og om ophævelse af forordning (EU) nr. 526/2013 (forordningen om cybersikkerhed) (EUT L 151 af 7.6.2019, s. 15).

(29)    EUT C 202 af 8.7.2011, s. 13.

(30)    Europa-Parlamentets og Rådets forordning (EU, Euratom) 2018/1046.

(31)    Idem.

(32)    Jf. finansforordningens artikel 58, stk. 2, litra a) hhv. b).

(33)    Forklaringer vedrørende forvaltningsmetoder og henvisninger til finansforordningen findes på webstedet BudgWeb: https://myintracomm.ec.europa.eu/budgweb/EN/man/budgmanag/Pages/budgmanag.aspx .

(34)    OB = opdelte bevillinger/IOB = ikke-opdelte bevillinger.

(35)    EFTA: Den Europæiske Frihandelssammenslutning.

(36)    Kandidatlande og, hvis det er relevant, potentielle kandidater på Vestbalkan.

(37)    År n er det år, hvor gennemførelsen af forslaget/initiativet påbegyndes. Erstat "n" med det forventede første gennemførelsesår (f.eks.: 2021). Dette gælder også for de efterfølgende år.

(38)    Ifølge den officielle budgetkontoplan.

(39)    Teknisk og/eller administrativ bistand og udgifter til støtte for gennemførelsen af EU's programmer og/eller foranstaltninger (tidligere BA-poster), indirekte forskning, direkte forskning.

(40)    Resultater er de produkter og tjenesteydelser, der skal leveres (f.eks.: antal finansierede studenterudvekslinger, antal km bygget vej osv.).

(41)    Som beskrevet i punkt 1.4.2 "Specifikt/specifikke mål".

(42)    Teknisk og/eller administrativ bistand og udgifter til støtte for gennemførelsen af EU's programmer og/eller foranstaltninger (tidligere BA-poster), indirekte forskning, direkte forskning.

(43)    Delloft for eksternt personale under aktionsbevillingerne (tidligere BA-poster).

(44)    År n er det år, hvor gennemførelsen af forslaget/initiativet påbegyndes. Erstat "n" med det forventede første gennemførelsesår (f.eks.: 2021). Dette gælder også for de efterfølgende år.

(45)    Med hensyn til EU's traditionelle egne indtægter (told og sukkerafgifter) skal beløbene opgives netto, dvs. bruttobeløb, hvorfra der er trukket opkrævningsomkostninger på 20 %.

EUROPA-KOMMISSIONEN

Bruxelles, den 22.3.2022

COM(2022) 119 final

BILAG

til

Forslag til EUROPA-PARLAMENTETS OG RÅDETS FORORDNING

om informationssikkerhed i EU's institutioner, organer, kontorer og agenturer

{SWD(2022) 65 final} - {SWD(2022) 66 final}

BILAG I

Beskyttelsesforanstaltninger til håndtering af følsomme ikkeklassificerede informationer

Mærkning og håndtering af følsomme ikkeklassificerede informationer

1.Dokumenter, der indeholder følsomme ikkeklassificerede informationer, skal mærkes med en sikkerhedsmærkning og, hvis det er relevant, med en eller flere distributionsmærkninger eller mærkninger, som angiver målgruppen, alt efter tilfældet. Standardsikkerhedsmærkningen skal være ordet "SENSITIVE" med store bogstaver, med undtagelse af de tilfælde, der er omhandlet i artikel 15, stk. 2.

2.Dokumenter, der indeholder følsomme ikkeklassificerede informationer, må kun være tilgængelige for modtagere, der har need to know og i officielt øjemed. Hvis der anvendes distributionsmærkninger, skal der anmodes om tilladelse fra den udstedende EU-institution eller -organ til at udvide distributionen af et dokument.

3.Alle personer, der håndterer følsomme ikkeklassificerede informationer, skal gøres opmærksom på håndteringsinstrukserne.

4.Dokumenter, der er mærket SENSITIVE, nedklassificeres til EU NORMAL eller PUBLIC USE ved at fjerne eller gennemstrege mærkningerne.

5.Når en EU-institution eller -organ destruerer dokumenter, der indeholder følsomme ikkeklassificerede informationer, skal dette gøres på en sådan måde, at de ikke nemt kan rekonstrueres.  Papirkopier skal makuleres og elektroniske kopier sikkerhedsoverskrives, fysisk destrueres eller på anden vis gøres uerstattelige.

Beskyttelse af følsomme ikkeklassificerede informationer i forbindelse med arbejde, der udføres uden for EU-institutionernes og -organernes sites 

6.Følsomme ikkeklassificerede informationer skal beskyttes mod aflytning og iagttagelse i forbindelse med telearbejde og missioner uden for kontoret, og må ikke håndteres eller opbevares ude i offentligheden.

7.Dokumenter, der indeholder følsomme ikkeklassificerede informationer, må kun håndteres og opbevares på behørigt sikret udstyr eller via behørigt sikrede applikationer, der hører under EU-institutionernes og -organernes ansvar.

8.EU-institutionerne og -organerne skal sikre midler til at forhindre, at uautoriserede personer, herunder familiemedlemmer, får adgang til følsomme ikkeklassificerede informationer, som håndteres eller opbevares på en EU-institutions eller -organs udstyr, i forbindelse med arbejde, der udføres uden for tjenestestedet.

9.EU-institutioner og -organer skal instruere deres ansatte i:

a)at beskytte EU-institutionens eller -organets udstyr for så vidt, at det anvendes til at håndtere følsomme ikkeklassificerede informationer, mod tyveri, tab og skade og straks indberette enhver uheldig sikkerhedsbegivenhed, der påvirker deres udstyr eller informationer opbevaret på det

b)ikke at dele deres udstyr med uautoriserede personer

c)ikke at bruge udstyret til andet end arbejdsrelaterede aktiviteter.

10.EU-institutioner og -organer skal så vidt muligt sikre, at deres udstyr eller behørigt sikrede applikationer anvendes til at håndtere og opbevare følsomme ikkeklassificerede dokumenter i elektronisk format uden for deres sites. Håndtering af fysiske kopier af følsomme ikkeklassificerede dokumenter uden for kontoret bør undgås.

11.Hvis der anvendes tele- eller videokonferenceværktøjer, skal EU-institutionen eller ‑organet minimere risikoen for, at uautoriserede personer kan observere eller lytte til drøftelserne ved behørigt at autentificere deltagerne og anvende krypterede kommunikationsværktøjer, der er kompatible med need to know.

12.EU-institutionen eller -organet gennemfører kurser for alle ansatte, der telearbejder, om håndteringen af følsomme ikkeklassificerede informationer i forbindelse med arbejde, der udføres uden for kontoret.

Deling af følsomme ikkeklassificerede informationer

13.Dokumenter, der indeholder følsomme ikkeklassificerede informationer, kan uden yderligere formaliteter deles med andre EU-institutioner og -organer.

14.EU-institutioner og -organer må kun dele dokumenter, der indeholder følsomme ikkeklassificerede informationer, uden for EU's institutioner og -organer på grundlag af et tilsagn, der binder parterne til at respektere håndteringsinstrukserne.

15.EU-institutioner og -organer skal underrette modtagerne af følsomme ikkeklassificerede informationer om forpligtelsen til ikke at dele informationerne med andre parter uden for den målgruppe, der er angivet ved distributionsmærkningen, medmindre udstederen tillader det.

16.EU-institutioner og -organer skal beskytte følsomme ikkeklassificerede informationer, der udleveres eller deles elektronisk, ved hjælp af passende sikkerhedsforanstaltninger, herunder kryptering i forbindelse med transit, ved anvendelse af passende kryptografiske mekanismer.