This document is an excerpt from the EUR-Lex website
Document 32023D0726(01)
Decision of the High Representative of the Union for Foreign Affairs and Security Policy of 19 June 2023 on the security rules for the European External Action Service 2023/C 263/04
Αποφαση του υπατου εκπροσωπου της ένωσης για θεματα εξωτερικης πολιτικης και πολιτικης ασφαλειας της 19ής Ιουνίου 2023 σχετικά με τους κανόνες ασφάλειας για την Ευρωπαϊκή Υπηρεσία Εξωτερικής Δράσης 2023/C 263/04
Αποφαση του υπατου εκπροσωπου της ένωσης για θεματα εξωτερικης πολιτικης και πολιτικης ασφαλειας της 19ής Ιουνίου 2023 σχετικά με τους κανόνες ασφάλειας για την Ευρωπαϊκή Υπηρεσία Εξωτερικής Δράσης 2023/C 263/04
ΕΕ C 263 της 26.7.2023, p. 16–73
(BG, ES, CS, DA, DE, ET, EL, EN, FR, GA, HR, IT, LV, LT, HU, MT, NL, PL, PT, RO, SK, SL, FI, SV)
In force
|
26.7.2023 |
EL |
Επίσημη Εφημερίδα της Ευρωπαϊκής Ένωσης |
C 263/16 |
ΑΠΟΦΑΣΗ ΤΟΥ ΥΠΑΤΟΥ ΕΚΠΡΟΣΩΠΟΥ ΤΗΣ ΕΝΩΣΗΣ ΓΙΑ ΘΕΜΑΤΑ ΕΞΩΤΕΡΙΚΗΣ ΠΟΛΙΤΙΚΗΣ ΚΑΙ ΠΟΛΙΤΙΚΗΣ ΑΣΦΑΛΕΙΑΣ
της 19ής Ιουνίου 2023
σχετικά με τους κανόνες ασφάλειας για την Ευρωπαϊκή Υπηρεσία Εξωτερικής Δράσης
(2023/C 263/04)
Ο ΥΠΑΤΟΣ ΕΚΠΡΟΣΩΠΟΣ της Ένωσης για θέματα Εξωτερικής Πολιτικής και Πολιτικής Ασφαλείας,
Έχοντας υπόψη την απόφαση 2010/427/ΕΕ του Συμβουλίου, της 26ης Ιουλίου 2010, για τον καθορισμό της οργάνωσης και της λειτουργίας της Ευρωπαϊκής Υπηρεσίας Εξωτερικής Δράσης (1) (στο εξής: απόφαση 2010/427/ΕΕ του Συμβουλίου), και ιδίως το άρθρο 10 παράγραφος 1,
Εκτιμώντας τα ακόλουθα:
|
(1) |
Η Ευρωπαϊκή Υπηρεσία Εξωτερικής Δράσης (στο εξής: ΕΥΕΔ), ως λειτουργικά αυτόνομος φορέας της Ευρωπαϊκής Ένωσης (ΕΕ), θα πρέπει να έχει κανόνες ασφάλειας, όπως προβλέπεται στο άρθρο 10 παράγραφος 1 της απόφασης 2010/427/ΕΕ του Συμβουλίου. |
|
(2) |
Ο ύπατος εκπρόσωπος της Ένωσης για θέματα Εξωτερικής Πολιτικής και Πολιτικής Ασφαλείας (στο εξής: ύπατος εκπρόσωπος) θα πρέπει να αποφασίσει κανόνες ασφάλειας για την ΕΥΕΔ που να καλύπτουν όλες τις πτυχές της ασφάλειας όσον αφορά τη λειτουργία της ΕΥΕΔ, προκειμένου να μπορεί η ΕΥΕΔ να διαχειρίζεται αποτελεσματικά τους κινδύνους που αφορούν το προσωπικό που τελεί υπό την ευθύνη της καθώς και τα υλικά περιουσιακά στοιχεία, τις πληροφορίες και τους επισκέπτες της, και να εκπληρώνει το καθήκον επιμέλειας και τις αρμοδιότητές της στον τομέα αυτόν. |
|
(3) |
Ειδικότερα, θα πρέπει να παρέχεται στο προσωπικό που τελεί υπό την ευθύνη της ΕΥΕΔ καθώς και στα υλικά περιουσιακά στοιχεία, συμπεριλαμβανομένων των συστημάτων επικοινωνίας και πληροφοριών, στις πληροφορίες και στους επισκέπτες της ΕΥΕΔ επίπεδο προστασίας σύμφωνο με αυτό των βέλτιστων πρακτικών του Συμβουλίου, της Επιτροπής, των κρατών μελών και, κατά περίπτωση, των διεθνών οργανισμών. |
|
(4) |
Οι κανόνες ασφάλειας για την ΕΥΕΔ θα πρέπει να συμβάλλουν στην επίτευξη ενός ολοκληρωμένου και συνεκτικότερου γενικού πλαισίου εντός της ΕΕ για την προστασία των διαβαθμισμένων πληροφοριών της ΕΕ (στο εξής: ΔΠΕΕ), έχοντας ως βάση και διατηρώντας όσο το δυνατόν περισσότερη συνοχή με τους κανόνες ασφάλειας του Συμβουλίου της Ευρωπαϊκής Ένωσης (στο εξής: Συμβούλιο) και τις διατάξεις ασφάλειας της Ευρωπαϊκής Επιτροπής. |
|
(5) |
Η ΕΥΕΔ, το Συμβούλιο και η Επιτροπή δεσμεύονται να εφαρμόζουν ισοδύναμα πρότυπα ασφάλειας για την προστασία των ΔΠΕΕ. |
|
(6) |
Η παρούσα απόφαση δεν θίγει τα άρθρα 15 και 16 της Συνθήκης για τη λειτουργία της Ευρωπαϊκής Ένωσης (ΣΛΕΕ) ούτε τις πράξεις εφαρμογής τους. |
|
(7) |
Είναι αναγκαίο να ρυθμιστούν η οργάνωση της ασφάλειας στην ΕΥΕΔ και η ανάθεση καθηκόντων ασφάλειας εντός των δομών της ΕΥΕΔ. |
|
(8) |
Ο ύπατος εκπρόσωπος θα πρέπει να βασίζεται στη σχετική εμπειρογνωσία των κρατών μελών, της Γενικής Γραμματείας του Συμβουλίου και της Επιτροπής, όταν αυτό είναι αναγκαίο. |
|
(9) |
Ο ύπατος εκπρόσωπος θα πρέπει να λαμβάνει όλα τα κατάλληλα μέτρα που είναι αναγκαία για την εφαρμογή των κανόνων αυτών, με την υποστήριξη των κρατών μελών, της Γενικής Γραμματείας του Συμβουλίου και της Επιτροπής. |
|
(10) |
Παρότι Αρχή Ασφάλειας της ΕΥΕΔ είναι ο γενικός γραμματέας της ΕΥΕΔ, είναι σκόπιμο να αναθεωρηθούν οι κανόνες ασφάλειας της ΕΥΕΔ, ιδίως για να ληφθεί υπόψη η σύσταση του Κέντρου Αντιμετώπισης Κρίσεων και, για τον σκοπό αυτό, να καταργηθεί και να αντικατασταθεί η απόφαση ADMIN (2017) 10 της ύπατης εκπροσώπου της Ένωσης για θέματα Εξωτερικής Πολιτικής και Πολιτικής Ασφαλείας, της 19ης Σεπτεμβρίου 2017 (2). |
|
(11) |
Σύμφωνα με το άρθρο 15 παράγραφος 4 στοιχείο α) της απόφασης ADMIN (2017) 10 της ύπατης εκπροσώπου της Ένωσης για θέματα Εξωτερικής Πολιτικής και Πολιτικής Ασφαλείας, της 19ης Σεπτεμβρίου 2017, σχετικά με τους κανόνες ασφάλειας για την Ευρωπαϊκή Υπηρεσία Εξωτερικής Δράσης, ζητήθηκε η γνώμη της Επιτροπής Ασφάλειας της ΕΥΕΔ σχετικά με τις προβλεπόμενες τροποποιήσεις των κανόνων ασφάλειας της ΕΥΕΔ. |
ΕΞΕΔΩΣΕ ΤΗΝ ΠΑΡΟΥΣΑ ΑΠΟΦΑΣΗ:
Άρθρο 1
Σκοπός και πεδίο εφαρμογής
Η παρούσα απόφαση θεσπίζει τους κανόνες ασφάλειας για την Ευρωπαϊκή Υπηρεσία Εξωτερικής Δράσης (στο εξής: κανόνες ασφάλειας ΕΥΕΔ).
Σύμφωνα με το άρθρο 10 παράγραφος 1 της απόφασης 2010/427/ΕΕ του Συμβουλίου, η απόφαση εφαρμόζεται στο σύνολο των μελών του προσωπικού της ΕΥΕΔ και των αντιπροσωπειών της Ένωσης, ανεξαρτήτως της υπηρεσιακής τους κατάστασης ή προέλευσης, και καθορίζει το γενικό κανονιστικό πλαίσιο για την αποτελεσματική διαχείριση των κινδύνων που αφορούν το προσωπικό που τελεί υπό την ευθύνη της ΕΥΕΔ, όπως αναφέρεται στο άρθρο 2, καθώς και τις εγκαταστάσεις, τα υλικά περιουσιακά στοιχεία, τις πληροφορίες και τους επισκέπτες της ΕΥΕΔ.
Άρθρο 2
Ορισμοί
Για τους σκοπούς της παρούσας απόφασης, ισχύουν οι ακόλουθοι ορισμοί:
|
α) |
«προσωπικό της ΕΥΕΔ»: υπάλληλοι και λοιπό προσωπικό της Ευρωπαϊκής Ένωσης, συμπεριλαμβανομένων των υπαλλήλων διπλωματικών υπηρεσιών των κρατών μελών οι οποίοι απασχολούνται ως έκτακτο προσωπικό και των αποσπασμένων εθνικών εμπειρογνωμόνων, όπως ορίζονται στο άρθρο 6 παράγραφοι 2 και 3 της απόφασης 2010/427/ΕΕ του Συμβουλίου, αντιστοίχως· |
|
β) |
«προσωπικό που τελεί υπό την ευθύνη της ΕΥΕΔ»: τα μέλη του προσωπικού της ΕΥΕΔ στην έδρα της ΕΥΕΔ και στις αντιπροσωπείες της Ένωσης και το σύνολο των μελών του υπόλοιπου προσωπικού των αντιπροσωπειών της Ένωσης, ανεξαρτήτως της υπηρεσιακής τους κατάστασης ή προέλευσης, καθώς και, στο πλαίσιο της παρούσας απόφασης, ο ύπατος εκπρόσωπος και, κατά περίπτωση, το λοιπό προσωπικό που απασχολείται εσωτερικά στις εγκαταστάσεις της έδρας της ΕΥΕΔ· |
|
γ) |
«επιλέξιμα εξαρτώμενα πρόσωπα»: κάθε μέλος οικογενείας μέλους του προσωπικού που τελεί υπό την ευθύνη της ΕΥΕΔ σε αντιπροσωπείες της Ένωσης το οποίο ανήκει στο αντίστοιχο νοικοκυριό, όπως γνωστοποιείται στο υπουργείο Εξωτερικών του κράτους υποδοχής, και διαμένει πραγματικά με το συγκεκριμένο μέλος του προσωπικού στον τόπο εργασίας τη χρονική στιγμή της εκκένωσης από τη χώρα· |
|
δ) |
«εγκαταστάσεις της ΕΥΕΔ»: όλες οι εγκαταστάσεις της ΕΥΕΔ, συμπεριλαμβανομένων κτιρίων, γραφείων, αιθουσών και άλλων χώρων, καθώς και χώρων που στεγάζουν συστήματα επικοινωνίας και πληροφοριών (συμπεριλαμβανομένων αυτών που χειρίζονται ΔΠΕΕ), όπου η ΕΥΕΔ ασκεί μόνιμες ή προσωρινές δραστηριότητες· |
|
ε) |
«συμφέροντα ασφάλειας της ΕΥΕΔ»: το προσωπικό που τελεί υπό την ευθύνη της ΕΥΕΔ, οι εγκαταστάσεις της ΕΥΕΔ, τα εξαρτώμενα πρόσωπα, τα υλικά περιουσιακά στοιχεία, συμπεριλαμβανομένων των συστημάτων επικοινωνίας και πληροφοριών, οι πληροφορίες και οι επισκέπτες· |
|
στ) |
«ΔΠΕΕ»: κάθε πληροφορία ή υλικό που έχει χαρακτηριστεί με διαβάθμιση ασφάλειας ΕΕ και του οποίου η άνευ αδείας κοινολόγηση μπορεί να βλάψει ποικιλοτρόπως τα συμφέροντα της Ευρωπαϊκής Ένωσης ή ενός ή περισσότερων κρατών μελών· |
|
ζ) |
«αντιπροσωπεία της Ένωσης»: οι αντιπροσωπείες της Ένωσης σε τρίτες χώρες και διεθνείς οργανισμούς, όπως αναφέρονται στο άρθρο 1 παράγραφος 4 της απόφασης 2010/427/ΕΕ του Συμβουλίου, και οι οργανισμοί της ΕΕ, σύμφωνα με το άρθρο 5 της απόφασης 2010/427/ΕΕ του Συμβουλίου. |
Άλλοι ορισμοί για τους σκοπούς της παρούσας απόφασης περιέχονται στα σχετικά παραρτήματα και στο προσάρτημα Α.
Άρθρο 3
Καθήκον επιμέλειας
1. Οι κανόνες ασφάλειας της ΕΥΕΔ αποσκοπούν στην εκπλήρωση του καθήκοντος επιμέλειας της ΕΥΕΔ και των σχετικών αρμοδιοτήτων της.
2. Το καθήκον επιμέλειας της ΕΥΕΔ συνίσταται στην επίδειξη της δέουσας επιμέλειας κατά την πραγματοποίηση όλων των εύλογων ενεργειών για την εφαρμογή μέτρων ασφάλειας με σκοπό την αποτροπή ευλόγως προβλέψιμης ζημίας στα συμφέροντα ασφάλειας της ΕΥΕΔ.
Περιλαμβάνει τόσο πτυχές ασφάλειας όσο και πτυχές προστασίας, συμπεριλαμβανομένων αυτών που προκύπτουν από έκτακτα περιστατικά ή κρίσεις, ανεξαρτήτως της φύσης τους.
3. Λαμβάνοντας υπόψη το καθήκον επιμέλειας των κρατών μελών, των θεσμικών οργάνων ή οργανισμών της ΕΕ και άλλων μερών με προσωπικό σε αντιπροσωπείες της Ένωσης και/ή σε εγκαταστάσεις αντιπροσωπειών της Ένωσης καθώς και το καθήκον επιμέλειας της ΕΥΕΔ σε σχέση με τις αντιπροσωπείες της Ένωσης που στεγάζονται σε εγκαταστάσεις των προαναφερθέντων άλλων μερών, η ΕΥΕΔ συνάπτει διοικητικούς διακανονισμούς με καθέναν από τους παραπάνω φορείς οι οποίοι καθορίζουν τους αντίστοιχους ρόλους και αρμοδιότητες, τα καθήκοντα και τους μηχανισμούς συνεργασίας.
Άρθρο 4
Υλική ασφάλεια και ασφάλεια των υποδομών
1. Η ΕΥΕΔ θεσπίζει όλα τα ενδεδειγμένα μέτρα υλικής ασφάλειας (είτε μόνιμα είτε προσωρινά), περιλαμβανομένων διακανονισμών ελέγχου πρόσβασης, σε όλες τις εγκαταστάσεις της ΕΥΕΔ, με σκοπό την προστασία των συμφερόντων ασφάλειας της ΕΥΕΔ. Τα μέτρα αυτά λαμβάνονται υπόψη κατά τον σχεδιασμό και τον προγραμματισμό νέων εγκαταστάσεων ή πριν από τη μίσθωση υφιστάμενων εγκαταστάσεων.
2. Μπορούν να επιβληθούν ειδικές υποχρεώσεις ή περιορισμοί στο προσωπικό που τελεί υπό την ευθύνη της ΕΥΕΔ και στα εξαρτώμενα πρόσωπα, για λόγους ασφάλειας, για συγκεκριμένο διάστημα και σε συγκεκριμένα μέρη.
3. Τα μέτρα που αναφέρονται στις παραγράφους 1 και 2 είναι ανάλογα του εκτιμώμενου κινδύνου.
Άρθρο 5
Καταστάσεις συναγερμού και καταστάσεις κρίσης
1. Η Αρχή Ασφάλειας της ΕΥΕΔ, όπως ορίζεται στο άρθρο 13 τμήμα I παράγραφος 1, είναι αρμόδια για τον καθορισμό των επιπέδων κατάστασης συναγερμού και για τη θέσπιση κατάλληλων μέτρων κατάστασης συναγερμού εν αναμονή ή στο πλαίσιο αντιμετώπισης απειλών και συμβάντων που υπονομεύουν την ασφάλεια στην ΕΥΕΔ.
2. Τα μέτρα κατάστασης συναγερμού που αναφέρονται στην παράγραφο 1 είναι ανάλογα με το επίπεδο της απειλής για την ασφάλεια. Τα επίπεδα κατάστασης συναγερμού καθορίζονται από την Αρχή Ασφάλειας της ΕΥΕΔ σε στενή συνεργασία με τις αρμόδιες υπηρεσίες άλλων θεσμικών και λοιπών οργάνων και οργανισμών της Ένωσης, και του κράτους μέλους ή των κρατών μελών που φιλοξενούν εγκαταστάσεις της ΕΥΕΔ.
3. Η Αρχή Ασφάλειας της ΕΥΕΔ αποτελεί το σημείο επαφής για τις καταστάσεις συναγερμού και για την αντιμετώπιση κρίσεων. Μπορεί να αναθέτει περαιτέρω τα σχετικά καθήκοντα στον γενικό διευθυντή Διαχείρισης Πόρων, όπως αναφέρεται στο άρθρο 4 παράγραφος 3 στοιχείο α) δεύτερη περίπτωση της απόφασης 2010/427/ΕΕ του Συμβουλίου, και στον διευθυντή του Κέντρου Αντιμετώπισης Κρίσεων (CRC) όσον αφορά, αντιστοίχως, την έδρα της ΕΥΕΔ και τις αντιπροσωπείες της Ένωσης.
Άρθρο 6
Η προστασία των διαβαθμισμένων πληροφοριών
1. Η προστασία των ΔΠΕΕ διέπεται από τις απαιτήσεις που ορίζονται στην παρούσα απόφαση, και συγκεκριμένα στο παράρτημα Α. Ο κάτοχος οποιουδήποτε στοιχείου ΔΠΕΕ είναι υπεύθυνος για τη δέουσα προστασία του.
2. Η ΕΥΕΔ μεριμνά ώστε η πρόσβαση σε διαβαθμισμένες πληροφορίες να χορηγείται μόνο σε πρόσωπα που πληρούν τις προϋποθέσεις που ορίζονται στο άρθρο 5 του παραρτήματος Α.
3. Οι προϋποθέσεις υπό τις οποίες επιτρέπεται η πρόσβαση τοπικών υπαλλήλων σε ΔΠΕΕ καθορίζονται επίσης από τον ύπατο εκπρόσωπο, σύμφωνα με τους κανόνες προστασίας των ΔΠΕΕ που ορίζονται στο παράρτημα Α της παρούσας απόφασης.
4. Η ΕΥΕΔ μεριμνά για τη διαχείριση του καθεστώτος εξουσιοδότησης ασφάλειας όλου του προσωπικού που τελεί υπό την ευθύνη της ΕΥΕΔ, καθώς και των εργολάβων της ΕΥΕΔ.
5. Όταν τα κράτη μέλη εισάγουν διαβαθμισμένες πληροφορίες με εθνική σήμανση διαβάθμισης ασφάλειας στις δομές ή στα δίκτυα της ΕΥΕΔ, η ΕΥΕΔ προστατεύει τις πληροφορίες αυτές σύμφωνα με τις απαιτήσεις που ισχύουν για τις ΔΠΕΕ στο ισοδύναμο επίπεδο, όπως ορίζεται στον πίνακα ισοδυναμίας των διαβαθμίσεων ασφάλειας του προσαρτήματος Β της παρούσας απόφασης.
6. Οι χώροι της ΕΥΕΔ στους οποίους αποθηκεύονται πληροφορίες με διαβάθμιση CONFIDENTIEL UE/EU CONFIDENTIAL ή ανώτερη, ή διαβαθμίζονται σε ισοδύναμο επίπεδο, διαμορφώνονται ως χώροι ασφαλείας, σύμφωνα με τους κανόνες που προβλέπονται στο παράρτημα A II της παρούσας απόφασης, και εγκρίνονται από την Αρχή Ασφάλειας της ΕΥΕΔ.
7. Οι διαδικασίες για την εκτέλεση των καθηκόντων του ύπατου εκπροσώπου στο πλαίσιο συμφωνιών ή διοικητικών διακανονισμών για την ανταλλαγή ΔΠΕΕ με τρίτα κράτη ή διεθνείς οργανισμούς περιγράφονται στα παραρτήματα Α και A VI της παρούσας απόφασης.
8. Ο γενικός γραμματέας καθορίζει τους όρους υπό τους οποίους η ΕΥΕΔ μπορεί να κοινοποιεί ΔΠΕΕ τις οποίες έχει στην κατοχή της σε άλλα θεσμικά και λοιπά όργανα ή οργανισμούς της Ένωσης. Προς τον σκοπό αυτό θα προβλεφθεί κατάλληλο πλαίσιο, μεταξύ άλλων με τη σύναψη διοργανικών συμφωνιών ή άλλων σχετικών διακανονισμών, κατά περίπτωση.
9. Το πλαίσιο αυτό εξασφαλίζει ότι οι ΔΠΕΕ λαμβάνουν προστασία κατάλληλη για το επίπεδο διαβάθμισής τους και σύμφωνη με βασικές αρχές και ελάχιστα πρότυπα ισοδύναμα με εκείνα που καθορίζονται στην παρούσα απόφαση.
Άρθρο 7
Αντιμετώπιση συμβάντων ασφάλειας, έκτακτων περιστατικών και κρίσεων
1. Προκειμένου να διασφαλίζεται η έγκαιρη και αποτελεσματική αντιμετώπιση συμβάντων ασφάλειας, η ΕΥΕΔ καθιερώνει διαδικασία αναφοράς τέτοιων συμβάντων και έκτακτων περιστατικών, η οποία λειτουργεί είκοσι τέσσερις ώρες την ημέρα, επτά ημέρες την εβδομάδα, και καλύπτει κάθε είδος συμβάντος ασφάλειας ή απειλής κατά των συμφερόντων ασφάλειας της ΕΥΕΔ (π.χ. ατυχήματα, συγκρούσεις, κακόβουλες πράξεις, εγκληματικές ενέργειες, απαγωγές και ομηρίες, έκτακτα ιατρικά περιστατικά, προβλήματα στα συστήματα επικοινωνίας και πληροφοριών, κυβερνοεπιθέσεις κ.λπ.).
2. Δημιουργούνται δίαυλοι σύνδεσης έκτακτης ανάγκης μεταξύ της έδρας της ΕΥΕΔ, των αντιπροσωπειών της Ένωσης, του Συμβουλίου, της Επιτροπής, των ειδικών εντεταλμένων και των κρατών μελών της ΕΕ, με σκοπό την υποστήριξή τους στην αντιμετώπιση κρίσεων, συμβάντων ασφάλειας και έκτακτων περιστατικών που αφορούν το προσωπικό, καθώς και των συνεπειών τους, συμπεριλαμβανομένου του σχεδιασμού έκτακτης ανάγκης.
3. Η αντιμετώπιση συμβάντων ασφάλειας/έκτακτων περιστατικών/κρίσεων περιλαμβάνει, μεταξύ άλλων:
|
— |
διαδικασίες για την αποτελεσματική στήριξη της διαδικασίας λήψης αποφάσεων σε σχέση με απειλές, συμβάντα ασφάλειας και έκτακτα περιστατικά που αφορούν το προσωπικό, περιλαμβανομένων αποφάσεων σχετικά με τον απεγκλωβισμό ή τον τερματισμό της αποστολής, και |
|
— |
πολιτική και διαδικασίες ανάκτησης προσωπικού —για παράδειγμα, στην περίπτωση αγνοούμενων μελών προσωπικού ή καταστάσεων απαγωγής και ομηρίας— λαμβανομένων υπόψη των συγκεκριμένων αρμοδιοτήτων των κρατών μελών, των θεσμικών οργάνων της ΕΕ και της ΕΥΕΔ στον τομέα αυτό. Η ανάγκη για ειδικές ικανότητες, στο πλαίσιο της διεύθυνσης επιχειρήσεων αυτού του είδους εξετάζεται λαμβανομένων υπόψη των πόρων που θα μπορούσαν να παράσχουν τα κράτη μέλη. |
4. Η ΕΥΕΔ θεσπίζει κατάλληλες διαδικασίες για την αναφορά συμβάντων ασφάλειας στις αντιπροσωπείες της Ένωσης. Όπου κρίνεται σκόπιμο, ενημερώνονται τα κράτη μέλη, η Επιτροπή, κάθε άλλη αρμόδια αρχή, καθώς και οι σχετικές επιτροπές ασφάλειας.
5. Οι διαδικασίες αντιμετώπισης συμβάντων, έκτακτων περιστατικών και κρίσεων θα πρέπει να δοκιμάζονται μέσω ασκήσεων και να αναθεωρούνται τακτικά.
Άρθρο 8
Ασφάλεια των συστημάτων επικοινωνίας και πληροφοριών
1. Η ΕΥΕΔ προστατεύει τις πληροφορίες που αποτελούν αντικείμενο χειρισμού σε συστήματα επικοινωνίας και πληροφοριών («ΣΕΠ»), όπως ορίζονται στο προσάρτημα A της παρούσας απόφασης, έναντι απειλών κατά της εμπιστευτικότητας, της ακεραιότητας, της διαθεσιμότητας, της γνησιότητας και της μη άρνησης αναγνώρισης.
2. Η Αρχή Ασφάλειας της ΕΥΕΔ εγκρίνει κανόνες, κατευθυντήριες γραμμές ασφάλειας και πρόγραμμα ασφάλειας για την προστασία όλων των ΣΕΠ τα οποία κατέχει ή διαχειρίζεται η ΕΥΕΔ.
3. Οι κανόνες, η πολιτική και το πρόγραμμα είναι σύμφωνα με τα αντίστοιχα του Συμβουλίου και της Επιτροπής και η εφαρμογή τους αποτελεί αντικείμενο στενού συντονισμού με αυτά και, εφόσον κρίνεται σκόπιμο, με τις πολιτικές ασφάλειας που εφαρμόζουν τα κράτη μέλη.
4. Όλα τα ΣΕΠ που χειρίζονται διαβαθμισμένες πληροφορίες υποβάλλονται σε διαδικασία πιστοποίησης. Η ΕΥΕΔ εφαρμόζει σύστημα για τη διαχείριση πιστοποίησης της ασφάλειας, σε διαβούλευση με τη Γενική Γραμματεία του Συμβουλίου και την Επιτροπή.
5. Όταν η προστασία των ΔΠΕΕ τις οποίες χειρίζεται η ΕΥΕΔ παρέχεται με κρυπτογραφικά προϊόντα, τα προϊόντα αυτά εγκρίνονται από την Αρχή Έγκρισης Κρυπτογραφικών Μεθόδων της ΕΥΕΔ, κατόπιν σύστασης της Επιτροπής Ασφάλειας του Συμβουλίου.
6. Η Αρχή Ασφάλειας της ΕΥΕΔ θεσπίζει, στον βαθμό που είναι αναγκαίο, τις ακόλουθες λειτουργίες διασφάλισης των πληροφοριών:
|
α) |
Αρχή Διασφάλισης Πληροφοριών (ΑΔΠ); |
|
β) |
Αρχή TEMPEST (ΑΤ); |
|
γ) |
Αρχή Έγκρισης Κρυπτογραφικών Μεθόδων (ΑΕΚΜ); |
|
δ) |
Αρχή Διανομής Κρυπτογραφικών Μεθόδων (ΑΔΚΜ). |
7. Για κάθε σύστημα, η Αρχή Ασφάλειας της ΕΥΕΔ θεσπίζει τις ακόλουθες λειτουργίες:
|
α) |
Αρχή Πιστοποίησης της Ασφάλειας (ΑΠΑ); |
|
β) |
Επιχειρησιακή Αρχή Διασφάλισης Πληροφοριών (ΕΑΔΠ). |
8. Οι διατάξεις εφαρμογής του παρόντος άρθρου όσον αφορά την προστασία των ΔΠΕΕ περιέχονται στα παραρτήματα Α και Α IV.
Άρθρο 9
Παραβιάσεις της ασφάλειας και διαρροή διαβαθμισμένων πληροφοριών
1. Παραβίαση της ασφάλειας προκύπτει ως αποτέλεσμα πράξης ή παράλειψης που αντίκειται στους κανόνες ασφάλειας που ορίζονται στην παρούσα απόφαση και/ή στις πολιτικές ή τις κατευθυντήριες γραμμές ασφάλειας που ορίζουν οποιαδήποτε μέτρα απαραίτητα για την εφαρμογή της, όπως εγκρίνονται σύμφωνα με το άρθρο 21 παράγραφος 1.
2. Διαρροή διαβαθμισμένων πληροφοριών προκύπτει όταν οι πληροφορίες κοινολογούνται εξ ολοκλήρου ή εν μέρει σε μη εξουσιοδοτημένα πρόσωπα ή φορείς.
3. Κάθε παραβίαση ή υπόνοια παραβίασης της ασφάλειας και κάθε διαρροή ή υπόνοια διαρροής διαβαθμισμένων πληροφοριών αναφέρεται αμέσως στον διευθυντή Ασφάλειας Έδρας και Ασφάλειας Πληροφοριών της ΕΥΕΔ, ο οποίος λαμβάνει τα ενδεδειγμένα μέτρα, όπως ορίζονται στο παράρτημα Α άρθρο 11.
4. Κάθε πρόσωπο που ευθύνεται για παραβίαση των κανόνων ασφάλειας της παρούσας απόφασης ή για διαρροή διαβαθμισμένων πληροφοριών ενδέχεται να υποστεί πειθαρχικές και/ή νομικές κυρώσεις σύμφωνα με τους ισχύοντες νόμους, κανόνες και κανονισμούς, όπως ορίζεται στο άρθρο 11 παράγραφος 3 του παραρτήματος Α.
Άρθρο 10
Διερεύνηση συμβάντων ασφάλειας, παραβιάσεων και/ή διαρροών και διορθωτικές δράσεις
1. Με την επιφύλαξη του άρθρου 86 και του παραρτήματος IX του κανονισμού υπηρεσιακής κατάστασης (3), μπορούν να δρομολογούνται και να διενεργούνται από τη Διεύθυνση Ασφάλειας Έδρας και Ασφάλειας Πληροφοριών της ΕΥΕΔ έρευνες ασφάλειας:
|
α) |
σε περίπτωση δυνητικής διαρροής ή εσφαλμένου χειρισμού ΔΠΕΕ, διαβαθμισμένων πληροφοριών της Ευρατόμ ή ευαίσθητων μη διαβαθμισμένων πληροφοριών; |
|
β) |
για την αντιμετώπιση επιθέσεων εχθρικών μυστικών υπηρεσιών κατά της ΕΥΕΔ και του προσωπικού της; |
|
γ) |
για την αντιμετώπιση τρομοκρατικών επιθέσεων κατά της ΕΥΕΔ και του προσωπικού της; |
|
δ) |
σε περίπτωση κυβερνοπεριστατικών; |
|
ε) |
σε περίπτωση άλλων συμβάντων που υπονομεύουν ή ενδέχεται να υπονομεύσουν τη γενική ασφάλεια στην ΕΥΕΔ, συμπεριλαμβανομένων των υπονοιών διάπραξης ποινικών αδικημάτων. |
2. Η Αρχή Ασφάλειας της ΕΥΕΔ, επικουρούμενη από την Διεύθυνση Ασφάλειας Έδρας και [...] Ασφάλειας Πληροφοριών της ΕΥΕΔ, από τη Διεύθυνση Κέντρου Αντιμετώπισης Κρίσεων (CRC) και από εμπειρογνώμονες των κρατών μελών και/ή άλλων θεσμικών οργάνων της ΕΕ, κατά περίπτωση, εφαρμόζει κάθε απαραίτητη διορθωτική δράση που προκύπτει από τις έρευνες, όταν και όπως ενδείκνυται.
Η εξουσία διεξαγωγής και συντονισμού των ερευνών ασφάλειας στην ΕΥΕΔ μπορεί να εκχωρηθεί μόνο σε εξουσιοδοτημένα μέλη του προσωπικού βάσει ονομαστικής εντολής που τους ανατίθεται από την Αρχή Ασφάλειας της ΕΥΕΔ, στο πλαίσιο των τρεχόντων καθηκόντων τους.
3. Οι ελεγκτές έχουν πρόσβαση σε όλες τις πληροφορίες που είναι απαραίτητες για τη διενέργεια των ερευνών αυτών και έχουν την πλήρη στήριξη όλων των υπηρεσιών και του προσωπικού της ΕΥΕΔ εν προκειμένω.
Οι ελεγκτές μπορούν να λαμβάνουν κατάλληλα μέτρα για τη διαφύλαξη των ιχνών των αποδεικτικών στοιχείων κατά τρόπο ανάλογο προς τη σοβαρότητα του ζητήματος που διερευνάται.
4. Όταν η πρόσβαση σε πληροφορίες αφορά δεδομένα προσωπικού χαρακτήρα, συμπεριλαμβανομένων αυτών που περιέχονται σε συστήματα επικοινωνίας και πληροφοριών, η πρόσβαση αυτή πραγματοποιείται σύμφωνα με τον κανονισμό (ΕΕ) 2018/1725 (4).
5. Στις περιπτώσεις όπου είναι απαραίτητο να δημιουργηθεί μια ερευνητική βάση δεδομένων που θα περιέχει δεδομένα προσωπικού χαρακτήρα, ο Ευρωπαίος Επόπτης Προστασίας Δεδομένων (ΕΕΠΔ) ενημερώνεται σύμφωνα με τον προαναφερθέντα κανονισμό.
Άρθρο 11
Διαχείριση των κινδύνων κατά της ασφάλειας
1. Προκειμένου να καθορίσει τις ανάγκες της ΕΥΕΔ όσον αφορά την προστασία της ασφάλειας, η Διεύθυνση Ασφάλειας Έδρας και Ασφάλειας Πληροφοριών της ΕΥΕΔ και η Διεύθυνση Κέντρου Αντιμετώπισης Κρίσεων (CRC) αναπτύσσουν και επικαιροποιούν —σε στενή συνεργασία με τη Διεύθυνση Ασφάλειας της Γενικής Διεύθυνσης Ανθρωπίνων Πόρων και Ασφάλειας της Επιτροπής και, εφόσον κρίνεται σκόπιμο, με το Γραφείο Ασφάλειας της Γενικής Γραμματείας του Συμβουλίου— ολοκληρωμένη μεθοδολογία όσον αφορά την εκτίμηση κινδύνων ασφάλειας.
2. Η διαχείριση των κινδύνων για τα συμφέροντα ασφάλειας της ΕΥΕΔ έχει τη μορφή διαδικασίας. Η διαδικασία αυτή αποσκοπεί στον προσδιορισμό των γνωστών κινδύνων ασφάλειας, στον καθορισμό μέτρων ασφάλειας για τον μετριασμό των κινδύνων αυτών σε αποδεκτό επίπεδο, καθώς και στην εφαρμογή μέτρων σύμφωνα με την έννοια της άμυνας εις βάθος. Η αποτελεσματικότητα των μέτρων αυτών και το επίπεδο του κινδύνου τελούν υπό συνεχή αξιολόγηση.
3. Οι ρόλοι, οι αρμοδιότητες και τα καθήκοντα που καθορίζονται στην παρούσα απόφαση δεν θίγουν την ευθύνη κάθε μέλους του προσωπικού που τελεί υπό την ευθύνη της ΕΥΕΔ· ειδικότερα, το προσωπικό της ΕΕ σε αποστολή σε τρίτες χώρες πρέπει να ενεργεί με βάση την κοινή λογική και την ορθή κρίση όσον αφορά την ατομική του προστασία και ασφάλεια και να συμμορφώνεται με όλους τους ισχύοντες κανόνες, κανονισμούς, διαδικασίες και οδηγίες ασφάλειας.
4. Για την πρόληψη και τον έλεγχο κινδύνων για την ασφάλεια, το εντεταλμένο προσωπικό μπορεί να διενεργεί ελέγχους ιστορικού των προσώπων που εμπίπτουν στο πεδίο εφαρμογής της παρούσας απόφασης, προκειμένου να διαπιστώνει εάν η χορήγηση στα εν λόγω πρόσωπα πρόσβασης στις εγκαταστάσεις ή τις πληροφορίες της ΕΥΕΔ συνιστά απειλή για την ασφάλεια. Προς τον σκοπό αυτό και σύμφωνα με τον κανονισμό (ΕΕ) αριθ. 2018/1725, το εντεταλμένο προσωπικό μπορεί: α) να χρησιμοποιεί κάθε πηγή πληροφοριών που έχει στη διάθεσή της η ΕΥΕΔ, λαμβάνοντας υπόψη την αξιοπιστία της πηγής πληροφοριών· β) να έχει πρόσβαση στους φακέλους προσωπικού ή στα δεδομένα που διατηρεί η ΕΥΕΔ για τα πρόσωπα τα οποία απασχολεί ή προτίθεται να προσλάβει, ή για το προσωπικό των εργολάβων σε περιπτώσεις όπου κάτι τέτοιο είναι δεόντως δικαιολογημένο.
5. Η ΕΥΕΔ λαμβάνει όλα τα εύλογα μέτρα για να εξασφαλίσει την προστασία των συμφερόντων ασφάλειάς της και να αποτρέψει ευλόγως προβλέψιμες ζημίες αυτών.
6. Τα μέτρα ασφάλειας στην ΕΥΕΔ για την προστασία των ΔΠΕΕ καθ’ όλη τη διάρκεια του κύκλου ζωής τους είναι ανάλογα ιδίως προς το επίπεδο διαβάθμισης ασφάλειάς τους, τη μορφή και τον όγκο των πληροφοριών ή του υλικού, τη θέση και την κατασκευή των εγκαταστάσεων που στεγάζουν τις ΔΠΕΕ, καθώς και προς την απειλή, περιλαμβανομένης της επί τόπου εκτιμώμενης απειλής, δόλιων και/ή εγκληματικών δραστηριοτήτων, όπως κατασκοπείας, δολιοφθοράς και τρομοκρατίας.
Άρθρο 12
Ευαισθητοποίηση και κατάρτιση σε θέματα ασφάλειας
1. Η Αρχή Ασφάλειας της ΕΥΕΔ μεριμνά ώστε η Διεύθυνση Ασφάλειας Έδρας και Ασφάλειας Πληροφοριών της ΕΥΕΔ να αναπτύσσει κατάλληλα προγράμματα ευαισθητοποίησης και κατάρτισης σε θέματα ασφάλειας. Στα μέλη του προσωπικού της έδρας παρέχονται οι απαραίτητες ενημερώσεις ευαισθητοποίησης σε θέματα ασφάλειας και συναφής κατάρτιση από ομάδες ευαισθητοποίησης σε θέματα ασφάλειας, υπαγόμενες στη Διεύθυνση Ασφάλειας Έδρας και Ασφάλειας Πληροφοριών της ΕΥΕΔ. Στα μέλη του προσωπικού των αντιπροσωπειών της Ένωσης καθώς και, κατά περίπτωση, στα επιλέξιμα εξαρτώμενα από αυτά πρόσωπα παρέχονται, ανάλογα με τους κινδύνους στον τόπο εργασίας ή διαμονής τους, οι απαραίτητες ενημερώσεις ευαισθητοποίησης σε θέματα ασφάλειας και συναφής κατάρτιση από τις ομάδες διαχείρισης ασφάλειας, σε συντονισμό με τη Διεύθυνση Κέντρου Αντιμετώπισης Κρίσεων (CRC).
2. Τα μέλη του προσωπικού, προτού τους χορηγηθεί πρόσβαση σε ΔΠΕΕ και, εν συνεχεία, σε τακτά χρονικά διαστήματα, ενημερώνονται για τις ευθύνες που υπέχουν όσον αφορά την προστασία των ΔΠΕΕ δυνάμει του άρθρου 6 και δηλώνουν ότι τις αποδέχονται.
Άρθρο 13
Οργάνωση της ασφάλειας στην ΕΥΕΔ
Τμήμα 1. Γενικές διατάξεις
1. Ο γενικός γραμματέας αποτελεί την Αρχή Ασφάλειας της ΕΥΕΔ. Υπό την ιδιότητά του αυτή, ο γενικός γραμματέας μεριμνά ώστε:
|
α) |
να συντονίζονται τα μέτρα ασφάλειας, όπως απαιτείται, με τις αρμόδιες αρχές των κρατών μελών, τη Γενική Γραμματεία του Συμβουλίου και την Επιτροπή και, ανάλογα με την περίπτωση, με τρίτα κράτη ή διεθνείς οργανισμούς, σχετικά με όλα τα θέματα ασφάλειας που εμπίπτουν στις δραστηριότητες της ΕΥΕΔ, μεταξύ άλλων και για τη φύση των κινδύνων κατά των συμφερόντων ασφάλειας της ΕΥΕΔ και τα μέσα προστασίας από αυτές· |
|
β) |
να λαμβάνονται εξαρχής και πλήρως υπόψη οι πτυχές ασφάλειας για όλες τις δραστηριότητες της ΕΥΕΔ· |
|
γ) |
να χορηγείται πρόσβαση σε διαβαθμισμένες πληροφορίες μόνο σε πρόσωπα που πληρούν τις προϋποθέσεις που ορίζονται στο άρθρο 5 του παραρτήματος Α· |
|
δ) |
να λαμβάνονται κατάλληλα μέτρα για τη διαχείριση του καθεστώτος εξουσιοδότησης ασφάλειας όλου του προσωπικού που τελεί υπό την ευθύνη της ΕΥΕΔ, καθώς και των εργολάβων της ΕΥΕΔ· |
|
ε) |
να θεσπιστεί γραμματειακό σύστημα προκειμένου να διασφαλίζεται ότι ο χειρισμός πληροφοριών με διαβάθμιση CONFIDENTIEL UE/EU CONFIDENTIAL ή ανώτερη γίνεται σύμφωνα με την παρούσα απόφαση εντός της ΕΥΕΔ καθώς και μετά την κοινοποίησή τους σε κράτη μέλη της ΕΕ, θεσμικά και λοιπά όργανα και οργανισμούς της ΕΕ ή άλλους εξουσιοδοτημένους παραλήπτες. Τηρείται ξεχωριστό αρχείο για όλες τις ΔΠΕΕ που κοινοποιούνται από την ΕΥΕΔ σε τρίτα κράτη ή διεθνείς οργανισμούς, καθώς και για όλες τις διαβαθμισμένες πληροφορίες που προέρχονται από τρίτες χώρες ή διεθνείς οργανισμούς· |
|
στ) |
να διεξάγονται οι επιθεωρήσεις ασφάλειας που αναφέρονται στο άρθρο 16· |
|
ζ) |
να διεξάγονται έρευνες για κάθε πραγματική παραβίαση ή υπόνοια παραβίασης της ασφάλειας, καθώς και για κάθε πραγματική διαρροή ή απώλεια ή υπόνοια διαρροής ή απώλειας διαβαθμισμένων πληροφοριών τις οποίες κατέχει η ΕΥΕΔ ή οι οποίες προέρχονται από αυτήν, και να ζητείται από τις αρμόδιες αρχές ασφάλειας η συνδρομή τους στις έρευνες αυτές· |
|
η) |
να θεσπίζονται κατάλληλα σχέδια και μηχανισμοί για τη διαχείριση συμβάντων και επιπτώσεων, με σκοπό την έγκαιρη και αποτελεσματική αντιμετώπιση συμβάντων ασφάλειας· |
|
θ) |
να λαμβάνονται κατάλληλα μέτρα στην περίπτωση που ένα πρόσωπο δεν συμμορφώνεται με την παρούσα απόφαση· |
|
ι) |
να υφίστανται κατάλληλα υλικά και οργανωτικά μέτρα για την προστασία των συμφερόντων ασφάλειας της ΕΥΕΔ. |
Σε αυτό το πλαίσιο, η Αρχή Ασφάλειας της ΕΥΕΔ:
|
— |
ορίζει την κατηγορία ασφάλειας των αντιπροσωπειών της Ένωσης, σε διαβούλευση με την Επιτροπή, |
|
— |
συγκροτεί μηχανισμό αντιμετώπισης κρίσεων και καθορίζει τα καθήκοντα και τις αρμοδιότητές του, |
|
— |
αποφασίζει, αφού λάβει τη γνώμη του ύπατου εκπροσώπου, εφόσον κρίνεται σκόπιμο, πότε θα πρέπει να γίνει εκκένωση του προσωπικού μιας αντιπροσωπείας της Ένωσης εάν η κατάσταση ασφάλειας υπαγορεύει κάτι τέτοιο, |
|
— |
αποφασίζει τα μέτρα που πρέπει να εφαρμοστούν για την προστασία των επιλέξιμων εξαρτώμενων προσώπων, όταν κρίνεται απαραίτητο, λαμβάνοντας υπόψη τους διακανονισμούς με θεσμικά όργανα της ΕΕ όπως αναφέρονται στο άρθρο 3 παράγραφος 3, |
|
— |
εγκρίνει την πολιτική κρυπτογραφημένων επικοινωνιών, ιδίως το πρόγραμμα εγκατάστασης των προϊόντων και του μηχανισμού κρυπτογράφησης. |
2. Σύμφωνα με το άρθρο 10 παράγραφος 3 της απόφασης 2010/427/ΕΕ του Συμβουλίου, την Αρχή Ασφάλειας της ΕΥΕΔ επικουρούν από κοινού στα καθήκοντα αυτά:
|
(i). |
ο γενικός διευθυντής Διαχείρισης Πόρων, επικουρούμενος από τον διευθυντή Ασφάλειας Έδρας και Ασφάλειας Πληροφοριών της ΕΥΕΔ, |
|
(ii). |
ο διευθυντής του Κέντρου Αντιμετώπισης Κρίσεων (CRC), και, κατά περίπτωση, ο αναπληρωτής γενικός γραμματέας για την ειρήνη, την ασφάλεια και την άμυνα, προκειμένου να διασφαλίζεται η συνέπεια με τα μέτρα ασφάλειας που πρέπει να λαμβάνονται για τις αποστολές και τις επιχειρήσεις ΚΠΑΑ. |
3. Ο γενικός γραμματέας ως Αρχή Ασφάλειας της ΕΥΕΔ μπορεί να αναθέτει περαιτέρω τα καθήκοντά του, κατά περίπτωση.
4. Κάθε επικεφαλής τμήματος/τομέα είναι υπεύθυνος για τη διασφάλιση της εφαρμογής των κανόνων αυτών, καθώς και των κατευθυντήριων γραμμών ασφάλειας που αναφέρονται στο άρθρο 21 της παρούσας απόφασης και κάθε άλλης διαδικασίας ή μέτρου που στοχεύει στην προστασία των ΔΠΕΕ εντός του τμήματος/τομέα του οποίου προΐσταται.
Κάθε επικεφαλής τμήματος/τομέα, παραμένοντας ο ίδιος υπεύθυνος όπως αναφέρθηκε ανωτέρω, αναθέτει σε μέλη του προσωπικού τον ρόλο του συντονιστή ασφάλειας τμήματος. Ο αριθμός των μελών προσωπικού με τέτοιον ρόλο είναι ανάλογος προς τον όγκο των ΔΠΕΕ που χειρίζεται το συγκεκριμένο τμήμα/τομέας.
Οι συντονιστές ασφάλειας τμήματος βοηθούν και υποστηρίζουν, όταν και όπως ενδείκνυται, τον επικεφαλής του τμήματος/τομέα τους στην εκτέλεση καθηκόντων που σχετίζονται με την ασφάλεια, όπως:
|
α) |
ανάπτυξη τυχόν πρόσθετων απαιτήσεων ασφάλειας κατάλληλων για τις ειδικές ανάγκες του τμήματος/τομέα σε διαβούλευση με τη Διεύθυνση Ασφάλειας Έδρας και Ασφάλειας Πληροφοριών της ΕΥΕΔ· |
|
β) |
συμπλήρωση των περιοδικών ενημερώσεων σε θέματα ασφάλειας που παρέχονται από τη Διεύθυνση Ασφάλειας Έδρας και Ασφάλειας Πληροφοριών της ΕΥΕΔ στα μέλη του τμήματος/τομέα τους με πληροφορίες σχετικά με τις πρόσθετες απαιτήσεις ασφάλειας που αναφέρονται στο στοιχείο α)· |
|
γ) |
διασφάλιση της τήρησης της αρχής της ανάγκης γνώσης στο τμήμα/τομέα τους· |
|
δ) |
διατήρηση επικαιροποιημένου καταλόγου ασφαλών κωδικών και κλειδιών, όπου αρμόζει· |
|
ε) |
διασφάλιση, όπου αρμόζει, της επικαιροποίησης και της αποτελεσματικότητας των διαδικασιών ασφάλειας και των μέτρων ασφάλειας· |
|
στ) |
αναφορά τυχόν παραβιάσεων της ασφάλειας και/ή διαρροών ΔΠΕΕ τόσο στον διευθυντή τους όσο και στη Διεύθυνση Ασφάλειας Έδρας και Ασφάλειας Πληροφοριών της ΕΥΕΔ· |
|
ζ) |
απενημέρωση των μελών προσωπικού που παύουν να απασχολούνται από την ΕΥΕΔ· |
|
η) |
παροχή τακτικών εκθέσεων μέσω της ιεραρχίας τους σχετικά με ζητήματα ασφάλειας του τμήματος/τομέα· |
|
θ) |
συνεργασία με τη Διεύθυνση Ασφάλειας Έδρας και Ασφάλειας Πληροφοριών της ΕΥΕΔ για κάθε ζήτημα ασφάλειας. |
Κάθε δραστηριότητα ή ζήτημα που μπορεί να έχει αντίκτυπο στην ασφάλεια κοινοποιείται εγκαίρως στη Διεύθυνση Ασφάλειας Έδρας και Ασφάλειας Πληροφοριών της ΕΥΕΔ.
Τμήμα 2. Διεύθυνση Ασφάλειας Έδρας και Ασφάλειας Πληροφοριών της ΕΥΕΔ
1. Η Διεύθυνση Ασφάλειας Έδρας και Ασφάλειας Πληροφοριών της ΕΥΕΔ υπάγεται διοικητικά στη Γενική Διεύθυνση Διαχείρισης Πόρων. Η Διεύθυνση Ασφάλειας Έδρας και Ασφάλειας Πληροφοριών της ΕΥΕΔ:
|
α) |
εκπληρώνει τις σχετικές με το καθήκον επιμέλειας αρμοδιότητες της ΕΥΕΔ στην έδρα της ΕΥΕΔ και είναι αρμόδια για όλα τα θέματα ασφάλειας στην έδρα της ΕΥΕΔ, μεταξύ άλλων όσον αφορά τα συστήματα επικοινωνίας και πληροφοριών (ΣΕΠ) και την ασφάλεια πληροφοριών για τις αντιπροσωπείες της Ένωσης· |
|
β) |
διαχειρίζεται, συντονίζει, επιβλέπει και/ή εφαρμόζει όλα τα μέτρα ασφάλειας σε όλες τις εγκαταστάσεις της έδρας της ΕΥΕΔ· |
|
γ) |
διασφαλίζει συνοχή και συνέπεια με την παρούσα απόφαση και με τις διατάξεις εφαρμογής οποιασδήποτε δραστηριότητας μπορεί να έχει αντίκτυπο στην προστασία των συμφερόντων ασφάλειας της ΕΥΕΔ· |
|
δ) |
στηρίζει τις δραστηριότητες της Αρχής Πιστοποίησης της Ασφάλειας της ΕΥΕΔ, διενεργώντας εκτιμήσεις υλικής ασφάλειας του γενικού περιβάλλοντος ασφάλειας/τοπικού περιβάλλοντος ασφάλειας των συστημάτων επικοινωνίας και πληροφοριών που χειρίζονται ΔΠΕΕ καθώς και όλων των εγκαταστάσεων της ΕΥΕΔ προς έγκριση για χειρισμό και αποθήκευση ΔΠΕΕ. |
Η Διεύθυνση Ασφάλειας Έδρας και Ασφάλειας Πληροφοριών της ΕΥΕΔ επικουρείται από τις αρμόδιες υπηρεσίες των κρατών μελών, σύμφωνα με το άρθρο 10 παράγραφος 3 της απόφασης 2010/427/ΕΕ του Συμβουλίου.
2. Ο διευθυντής Ασφάλειας Έδρας και Ασφάλειας Πληροφοριών της ΕΥΕΔ είναι αρμόδιος:
|
α) |
να διασφαλίζει τη συνολική προστασία των συμφερόντων ασφάλειας της ΕΥΕΔ στον τομέα ευθύνης της Διεύθυνσης Ασφάλειας Έδρας και Ασφάλειας Πληροφοριών της ΕΥΕΔ· |
|
β) |
να καταρτίζει, επανεξετάζει και επικαιροποιεί τους κανόνες ασφάλειας, καθώς και να συντονίζει τα μέτρα ασφάλειας με τον διευθυντή του Κέντρου Αντιμετώπισης Κρίσεων (CRC), με τις αρμόδιες αρχές των κρατών μελών και, κατά περίπτωση, με τις αρμόδιες αρχές τρίτων κρατών και διεθνών οργανισμών που συνδέονται με την ΕΕ μέσω συμφωνιών και/ή διακανονισμών ασφάλειας· |
|
γ) |
να αποτελεί τον κύριο σύμβουλο του ύπατου εκπροσώπου, της Αρχής Ασφάλειας της ΕΥΕΔ και του αναπληρωτή γενικού γραμματέα για την ειρήνη, την ασφάλεια και την άμυνα σε σχέση με όλα τα θέματα που άπτονται της ασφάλειας στην έδρα και της ασφάλειας των πληροφοριών της ΕΥΕΔ· |
|
δ) |
να διαχειρίζεται το καθεστώς εξουσιοδότησης ασφάλειας όλου του προσωπικού που τελεί υπό την ευθύνη της ΕΥΕΔ, καθώς και των εργολάβων της ΕΥΕΔ· |
|
ε) |
να προεδρεύει της Επιτροπής Ασφάλειας της ΕΥΕΔ στη σύνθεση εθνικών αρχών ασφάλειας (ΕΑΑ), όπως ορίζεται στο άρθρο 15 παράγραφος 1 της παρούσας απόφασης, κατόπιν εντολής της Αρχής Ασφάλειας της ΕΥΕΔ, και να υποστηρίζει τις εργασίες της· |
|
στ) |
να λειτουργεί ως σύνδεσμος με εταίρους ή αρχές πέραν αυτών που αναφέρονται στο στοιχείο β) ανωτέρω επί ζητημάτων ασφάλειας στον τομέα ευθύνης της Διεύθυνσης Ασφάλειας Έδρας και Ασφάλειας Πληροφοριών της ΕΥΕΔ· |
|
ζ) |
να θέτει προτεραιότητες και να υποβάλλει προτάσεις για τη διαχείριση του προϋπολογισμού όσον αφορά την ασφάλεια στην έδρα και, σε συντονισμό με τον διευθυντή του Κέντρου Αντιμετώπισης Κρίσεων (CRC), όσον αφορά την ασφάλεια στις αντιπροσωπείες της Ένωσης· |
|
η) |
να διασφαλίζει ότι καταγράφονται οι παραβιάσεις της ασφάλειας και οι διαρροές που αναφέρονται στο άρθρο 9 της παρούσας απόφασης και ότι κινούνται και διεξάγονται έρευνες όταν και όπου κρίνεται απαραίτητο· |
|
θ) |
να συναντάται τακτικά και όποτε είναι απαραίτητο με τον διευθυντή Ασφάλειας της Γενικής Γραμματείας του Συμβουλίου και τον διευθυντή της Διεύθυνσης Ασφάλειας της Γενικής Διεύθυνσης Ανθρωπίνων Πόρων και Ασφάλειας της Επιτροπής, για να συζητούν θέματα κοινού ενδιαφέροντος. |
3. Η Διεύθυνση Ασφάλειας Έδρας και Ασφάλειας Πληροφοριών της ΕΥΕΔ αναπτύσσει επαφές και διατηρεί στενή συνεργασία στον τομέα ευθύνης της με:
|
— |
τις εθνικές αρχές ασφάλειας (ΕΑΑ) και/ή τις λοιπές αρμόδιες αρχές ασφάλειας των κρατών μελών, προκειμένου να λαμβάνει τη βοήθειά τους όσον αφορά τις πληροφορίες που χρειάζεται για την εκτίμηση εκείνων των κινδύνων και των απειλών που ενδέχεται να αντιμετωπίσουν η ΕΥΕΔ, το προσωπικό της, οι δραστηριότητες, τα περιουσιακά στοιχεία, οι πόροι και οι διαβαθμισμένες πληροφορίες της στον συνήθη τόπο εργασίας της, |
|
— |
τις αρμόδιες αρχές ασφάλειας των τρίτων κρατών με τα οποία η ΕΕ έχει συνάψει συμφωνία ασφάλειας πληροφοριών ή στων οποίων το έδαφος η Ένωση αναπτύσσει αποστολή ή επιχείρηση ΚΠΑΑ· το Γραφείο Ασφάλειας της Γενικής Γραμματείας του Συμβουλίου και τη Διεύθυνση Ασφάλειας της Γενικής Διεύθυνσης Ανθρωπίνων Πόρων και Ασφάλειας της Επιτροπής· και, όπου κρίνεται σκόπιμο, τα τμήματα ασφάλειας των άλλων θεσμικών και λοιπών οργάνων και οργανισμών της ΕΕ, |
|
— |
τα τμήματα ασφάλειας διεθνών οργανισμών με τους οποίους η ΕΕ έχει συνάψει συμφωνία ασφάλειας πληροφοριών, και |
|
— |
τις ΕΑΑ των κρατών μελών, για οποιοδήποτε ζήτημα σχετίζεται με την προστασία των ΔΠΕΕ, συμπεριλαμβανομένων των εξουσιοδοτήσεων ασφάλειας προσωπικού (ΕΑΠ). |
Τμήμα 3. Διεύθυνση Κέντρου Αντιμετώπισης Κρίσεων (CRC)
1. Η Διεύθυνση Κέντρου Αντιμετώπισης Κρίσεων (CRC):
|
α) |
εκπληρώνει τις σχετικές με το καθήκον επιμέλειας αρμοδιότητες της ΕΥΕΔ στις αντιπροσωπείες της Ένωσης· |
|
β) |
διαφυλάσσει την ασφάλεια του προσωπικού που τελεί υπό την ευθύνη της ΕΥΕΔ στις αντιπροσωπείες της Ένωσης σε καθημερινή βάση, προτείνει μέτρα προς εφαρμογή σε περίπτωση κρίσης ώστε να διασφαλίζεται η επιχειρησιακή συνέχεια στις αντιπροσωπείες της Ένωσης, και εφαρμόζει τις διαδικασίες εκκένωσης σε στενό συντονισμό με τον Τομέα Συντονισμού της Γενικής Διεύθυνσης Διαχείρισης Πόρων· |
|
γ) |
διαχειρίζεται, συντονίζει, εποπτεύει και/ή εφαρμόζει όλα τα μέτρα ασφάλειας στις εγκαταστάσεις της ΕΥΕΔ εντός των αντιπροσωπειών της Ένωσης· |
|
δ) |
διασφαλίζει τη συνοχή και τη συνέπεια με την παρούσα απόφαση και με τις διατάξεις εφαρμογής οποιασδήποτε δραστηριότητας της ΕΥΕΔ μπορεί να έχει αντίκτυπο στα συμφέροντα ασφάλειας της ΕΥΕΔ στον τομέα ευθύνης του CRC· |
|
ε) |
στηρίζει τις δραστηριότητες της Αρχής Πιστοποίησης της Ασφάλειας της ΕΥΕΔ στη διενέργεια εκτιμήσεων υλικής ασφάλειας των εγκαταστάσεων των αντιπροσωπειών της Ένωσης που πρόκειται να λάβουν έγκριση χειρισμού και αποθήκευσης ΔΠΕΕ. |
2. Ο διευθυντής του Κέντρου Αντιμετώπισης Κρίσεων (CRC) είναι αρμόδιος:
|
α) |
να διασφαλίζει τη συνολική προστασία των συμφερόντων ασφάλειας της ΕΥΕΔ στον τομέα ευθύνης της Διεύθυνσης Κέντρου Αντιμετώπισης Κρίσεων (CRC)· |
|
β) |
να συντονίζει τα μέτρα και τις διαδικασίες ασφάλειας με τις αρμόδιες αρχές των κρατών υποδοχής και, κατά περίπτωση, με τους σχετικούς διεθνείς οργανισμούς· |
|
γ) |
να διασφαλίζει την ενεργοποίηση και τη διαχείριση του μηχανισμού αντιμετώπισης κρίσεων της ΕΥΕΔ· |
|
δ) |
να σχεδιάζει και να διαχειρίζεται την ικανότητα ανάπτυξης της ΕΥΕΔ (αναπτύξιμη ομάδα υποστήριξης, συμπεριλαμβανομένου του απαραίτητου εξοπλισμού), καθώς και να διασφαλίζει την ετοιμότητά της ανά πάσα στιγμή· |
|
ε) |
να αποτελεί τον κύριο σύμβουλο του ύπατου εκπροσώπου, της Αρχής Ασφάλειας της ΕΥΕΔ και του αναπληρωτή γενικού γραμματέα για την ειρήνη, την ασφάλεια και την άμυνα σε σχέση με όλα τα θέματα που άπτονται της ασφάλειας στις αντιπροσωπείες της Ένωσης και σε σχέση με την αντιμετώπιση κρίσεων που τις επηρεάζουν· |
|
στ) |
να προεδρεύει της Επιτροπής Ασφάλειας της ΕΥΕΔ στη σύνθεση υπουργών Εξωτερικών (ΥΠΕΞ), όπως ορίζεται στο άρθρο 15 παράγραφος 1 της παρούσας απόφασης, κατόπιν εντολής της Αρχής Ασφάλειας της ΕΥΕΔ, καθώς και να υποστηρίζει τις εργασίες της· |
|
ζ) |
να λειτουργεί ως σύνδεσμος με εταίρους ή αρχές πέραν αυτών που αναφέρονται στο στοιχείο β) ανωτέρω επί ζητημάτων ασφάλειας στον τομέα ευθύνης της Διεύθυνσης Κέντρου Αντιμετώπισης Κρίσεων (CRC)· |
|
η) |
να συμβάλλει στον καθορισμό προτεραιοτήτων και την υποβολή προτάσεων για τη διαχείριση του προϋπολογισμού όσον αφορά την ασφάλεια στις αντιπροσωπείες της Ένωσης, όπως συντονίζεται από τον διευθυντή Ασφάλειας Έδρας και Ασφάλειας Πληροφοριών της ΕΥΕΔ· |
|
θ) |
να μεριμνά ώστε οι παραβιάσεις της ασφάλειας και οι διαρροές στον τομέα ευθύνης της Διεύθυνσης Κέντρου Αντιμετώπισης Κρίσεων (CRC) να κοινοποιούνται στη Διεύθυνση Ασφάλειας Έδρας και Ασφάλειας Πληροφοριών της ΕΥΕΔ, ώστε να δίνεται η κατάλληλη συνέχεια. |
3. Η Διεύθυνση Κέντρου Αντιμετώπισης Κρίσεων (CRC) αναπτύσσει επαφές και διατηρεί στενή συνεργασία στον τομέα ευθύνης της με:
|
— |
τα αρμόδια τμήματα των υπουργείων Εξωτερικών των κρατών μελών, |
|
— |
στον βαθμό που είναι αναγκαίο, τις αρμόδιες αρχές ασφάλειας των κρατών υποδοχής στο έδαφος των οποίων είναι εγκατεστημένες οι αντιπροσωπείες της ΕΕ, όσον αφορά τα συμφέροντα ασφάλειας της ΕΥΕΔ, |
|
— |
το Γραφείο Ασφάλειας της Γενικής Γραμματείας του Συμβουλίου και τη Διεύθυνση Ασφάλειας της Γενικής Διεύθυνσης Ανθρωπίνων Πόρων και Ασφάλειας της Επιτροπής και, όπου κρίνεται σκόπιμο, με τα τμήματα ασφάλειας των άλλων θεσμικών και λοιπών οργάνων και οργανισμών της ΕΕ, εντός του τομέα ευθύνης της, |
|
— |
τα τμήματα ασφάλειας διεθνών οργανισμών με σκοπό οποιαδήποτε χρήσιμη ενέργεια συντονισμού εντός του τομέα ευθύνης της. |
Τμήμα 4. Αντιπροσωπείες της Ένωσης
1. Κάθε επικεφαλής αντιπροσωπείας είναι υπεύθυνος για την εφαρμογή και τη διαχείριση, σε τοπικό επίπεδο, όλων των μέτρων που σχετίζονται με την προστασία των συμφερόντων ασφάλειας της ΕΥΕΔ εντός των εγκαταστάσεων και του πεδίου αρμοδιοτήτων της αντιπροσωπείας της Ένωσης.
Υπό την καθοδήγηση του Κέντρου Αντιμετώπισης Κρίσεων (CRC) και σε διαβούλευση με τις αρμόδιες αρχές του κράτους υποδοχής όταν κρίνεται απαραίτητο, προβαίνει σε κάθε ευλόγως εφαρμόσιμη ενέργεια προκειμένου να διασφαλίζει τη θέσπιση κατάλληλων υλικών και οργανωτικών μέτρων για την εκπλήρωση των σχετικών με το καθήκον επιμέλειας αρμοδιοτήτων του.
Ο επικεφαλής αντιπροσωπείας καταρτίζει διαδικασίες ασφάλειας για την προστασία των επιλέξιμων εξαρτώμενων προσώπων, όπως ορίζονται στο άρθρο 2 στοιχείο γ), κατά περίπτωση, λαμβάνοντας υπόψη τυχόν διοικητικούς διακανονισμούς, όπως αναφέρονται στο άρθρο 3 παράγραφος 3.
Ο επικεφαλής αντιπροσωπείας υποβάλλει εκθέσεις για όλα τα ζητήματα που σχετίζονται με το καθήκον επιμέλειας εντός του πεδίου αρμοδιοτήτων του στον διευθυντή του Κέντρου Αντιμετώπισης Κρίσεων (CRC), καθώς και στον διευθυντή της Διεύθυνσης Ασφάλειας Έδρας και Ασφάλειας Πληροφοριών της ΕΥΕΔ σχετικά με άλλα ζητήματα ασφάλειας.
Επικουρείται από τη Διεύθυνση Κέντρου Αντιμετώπισης Κρίσεων (CRC), από την Ομάδα Διαχείρισης Ασφάλειας της αντιπροσωπείας της Ένωσης, που απαρτίζεται από προσωπικό που ασκεί καθήκοντα και λειτουργίες στο πεδίο της ασφάλειας, και από το προσωπικό ασφάλειας, όπου είναι απαραίτητο. Η Διεύθυνση Ασφάλειας Έδρας και Ασφάλειας Πληροφοριών της ΕΥΕΔ παρέχει βοήθεια εντός του τομέα ευθύνης της.
Η αντιπροσωπεία της Ένωσης αναπτύσσει τακτικές επαφές και διατηρεί στενή συνεργασία σε θέματα ασφάλειας με τις διπλωματικές αποστολές των κρατών μελών.
2. Επιπλέον, ο επικεφαλής αντιπροσωπείας:
|
— |
καταρτίζει, σε συντονισμό με το Κέντρο Αντιμετώπισης Κρίσεων (CRC), λεπτομερή σχέδια ασφάλειας και έκτακτης ανάγκης για την αντιπροσωπεία της Ένωσης, βάσει γενικών τυποποιημένων διαδικασιών λειτουργίας, |
|
— |
διαχειρίζεται ένα αποτελεσματικό σύστημα που λειτουργεί είκοσι τέσσερις ώρες την ημέρα, επτά ημέρες την εβδομάδα, για τη διαχείριση συμβάντων ασφάλειας και έκτακτων περιστατικών εντός του πεδίου λειτουργίας της αντιπροσωπείας της Ένωσης, |
|
— |
μεριμνά για την ασφαλιστική κάλυψη όλου του προσωπικού που τοποθετείται στην αντιπροσωπεία της Ένωσης όπως υπαγορεύεται από τις συνθήκες που επικρατούν στον συγκεκριμένο τόπο, |
|
— |
μεριμνά ώστε η ασφάλεια να περιλαμβάνεται στην εισαγωγική κατάρτιση της αντιπροσωπείας της Ένωσης που παρέχεται σε όλο το προσωπικό που τοποθετείται στην αντιπροσωπεία της Ένωσης κατά την άφιξή του σε αυτή, και |
|
— |
εξασφαλίζει την εφαρμογή τυχόν συστάσεων που διατυπώνονται σε συνέχεια εκτιμήσεων ασφάλειας και υποβάλλει ανά τακτά διαστήματα γραπτές εκθέσεις σχετικά με την εφαρμογή τους στον διευθυντή του Κέντρου Αντιμετώπισης Κρίσεων (CRC) και στον διευθυντή Ασφάλειας Έδρας και Ασφάλειας Πληροφοριών της ΕΥΕΔ. |
3. Ο επικεφαλής αντιπροσωπείας, παραμένοντας υπεύθυνος και υπόλογος για τη διαφύλαξη της διαχείρισης της ασφάλειας καθώς και για την εξασφάλιση της ανθεκτικότητας της υπηρεσίας, μπορεί να αναθέτει την άσκηση των δικών του καθηκόντων ασφάλειας στον συντονιστή ασφάλειας της αντιπροσωπείας (ΣΑΑ), είτε πρόκειται για τον αναπληρωτή επικεφαλής αντιπροσωπείας ή, εάν η θέση αυτή είναι κενή, για άλλο κατάλληλο πρόσωπο.
Ειδικότερα, είναι δυνατή η ανάθεση των παρακάτω αρμοδιοτήτων:
|
— |
συντονισμός των λειτουργιών ασφάλειας στην αντιπροσωπεία της Ένωσης, |
|
— |
επαφές επί ζητημάτων ασφάλειας με τις αρμόδιες αρχές του κράτους υποδοχής και με τους κατάλληλους ομολόγους σε πρεσβείες και διπλωματικές αποστολές των κρατών μελών, |
|
— |
εφαρμογή ενδεδειγμένων διαδικασιών διαχείρισης της ασφάλειας σε σχέση με τα συμφέροντα ασφάλειας της ΕΥΕΔ, συμπεριλαμβανομένης της προστασίας των ΔΠΕΕ, |
|
— |
διασφάλιση της συμμόρφωσης με τους κανόνες και τις οδηγίες ασφάλειας, |
|
— |
ενημέρωση των μελών του προσωπικού για τους κανόνες ασφάλειας που εφαρμόζονται στην περίπτωσή τους και για τους ιδιαίτερους κινδύνους στο κράτος υποδοχής, |
|
— |
υποβολή αιτήσεων στη Διεύθυνση Ασφάλειας Έδρας και Ασφάλειας Πληροφοριών της ΕΥΕΔ για εξουσιοδοτήσεις ασφάλειας και σχετικά με θέσεις εργασίας που απαιτούν εξουσιοδότηση ασφάλειας προσωπικού (ΕΑΠ), και |
|
— |
διαρκής ενημέρωση του επικεφαλής αντιπροσωπείας, του περιφερειακού υπεύθυνου ασφάλειας (ΠΥΑ) και της Διεύθυνσης Κέντρου Αντιμετώπισης Κρίσεων (CRC) όσον αφορά συμβάντα ή σχετικές με την ασφάλεια εξελίξεις στην περιοχή που επηρεάζουν την προστασία των συμφερόντων ασφάλειας της ΕΥΕΔ. |
4. Ο επικεφαλής αντιπροσωπείας μπορεί να αναθέτει καθήκοντα ασφάλειας διοικητικού ή τεχνικού χαρακτήρα στον επικεφαλής διοικητικών υπηρεσιών και σε άλλα μέλη του προσωπικού της αντιπροσωπείας της Ένωσης.
5. Η αντιπροσωπεία της Ένωσης επικουρείται από ΠΥΑ. Οι ΠΥΑ αναλαμβάνουν τους ρόλους που ορίζονται παρακάτω στις αντιπροσωπείες της Ένωσης εντός καθεμιάς εκ των αντίστοιχων γεωγραφικών τομέων ευθύνης τους.
Σε ορισμένες περιπτώσεις, όταν υπαγορεύεται από την κατάσταση που επικρατεί στον τομέα της ασφάλειας, μπορεί να διοριστεί ειδικός ΠΥΑ σε μια συγκεκριμένη αντιπροσωπεία της Ένωσης ως εσωτερικό προσωπικό πλήρους απασχόλησης.
Ένας ΠΥΑ μπορεί να χρειαστεί να μετατεθεί σε περιοχή εκτός του τομέα ευθύνης του, συμπεριλαμβανομένης της έδρας της ΕΥΕΔ, ή ακόμη και να αναλάβει εσωτερική θέση ανάλογα με την κατάσταση ασφάλειας στην εκάστοτε χώρα και σύμφωνα με τις απαιτήσεις της Διεύθυνσης Κέντρου Αντιμετώπισης Κρίσεων (CRC).
6. Οι ΠΥΑ τελούν υπό τον άμεσο επιχειρησιακό έλεγχο της υπηρεσίας της έδρας της ΕΥΕΔ που είναι επιφορτισμένη με την επιτόπια ασφάλεια, αλλά υπό τον κοινό διοικητικό έλεγχο του επικεφαλής αντιπροσωπείας του τόπου εργασίας και της υπηρεσίας της έδρας που είναι επιφορτισμένη με την επιτόπια ασφάλεια. Συμβουλεύουν και επικουρούν τον επικεφαλής αντιπροσωπείας και το προσωπικό της αντιπροσωπείας της Ένωσης στη διευθέτηση και την εφαρμογή όλων των υλικών, οργανωτικών και διαδικαστικών μέτρων που σχετίζονται με την ασφάλεια της αντιπροσωπείας της Ένωσης.
7. Οι ΠΥΑ συμβουλεύουν και υποστηρίζουν τον επικεφαλής αντιπροσωπείας και το προσωπικό της αντιπροσωπείας της Ένωσης. Όπου κρίνεται σκόπιμο, ιδίως στις περιπτώσεις που ένας ΠΥΑ εργάζεται ως εσωτερικό προσωπικό πλήρους απασχόλησης, [...] θα πρέπει να βοηθά την αντιπροσωπεία της Ένωσης στη διαχείριση και την εφαρμογή της ασφάλειας, συμπεριλαμβανομένης της κατάρτισης συμβάσεων στον τομέα της ασφάλειας, καθώς και στη διαχείριση πιστοποιήσεων και εξουσιοδοτήσεων.
Άρθρο 14
Επιχειρήσεις ΚΠΑΑ και ειδικοί εντεταλμένοι της ΕΕ
Ο διευθυντής Ασφάλειας Έδρας και Ασφάλειας Πληροφοριών της ΕΥΕΔ και ο διευθυντής του Κέντρου Αντιμετώπισης Κρίσεων (CRC) συμβουλεύουν —εντός των αντίστοιχων τομέων ευθύνης των διευθύνσεών τους και ανάλογα με τις ανάγκες— τον διαχειριστικό διευθυντή για την κοινή πολιτική ασφάλειας και άμυνας (ΚΠΑΑ), τον γενικό διευθυντή του Στρατιωτικού Επιτελείου της ΕΕ (EUMS) —και υπό την ιδιότητά του ως διευθυντή της Στρατιωτικής Δυνατότητας Σχεδίασης και Διεξαγωγής Επιχειρήσεων (MPCC)— καθώς και τον διαχειριστικό διευθυντή για τη Μη Στρατιωτική Δυνατότητα Σχεδιασμού και Διεξαγωγής Επιχειρήσεων (CPCC) όσον αφορά τις σχετιζόμενες με την ασφάλεια πτυχές του σχεδιασμού και της διεξαγωγής αποστολών και επιχειρήσεων ΚΠΑΑ, καθώς και τους ειδικούς εντεταλμένους της ΕΕ για σχετιζόμενες με την ασφάλεια πτυχές της εντολής τους, συμπληρωματικά προς τις υφιστάμενες ειδικές πρόνοιες στο πεδίο αυτό οι οποίες περιέχονται στις σχετικές πολιτικές που εγκρίνονται από το Συμβούλιο.
Άρθρο 15
Η Επιτροπή Ασφάλειας της ΕΥΕΔ
1. Θεσπίζεται Επιτροπή Ασφάλειας της ΕΥΕΔ.
Προεδρεύεται από την Αρχή Ασφάλειας της ΕΥΕΔ ή ορισθέντα αντιπρόσωπο και συνέρχεται σύμφωνα με τις εντολές του προέδρου ή κατόπιν αίτησης οποιουδήποτε από τα μέλη της. Η Διεύθυνση Ασφάλειας Έδρας και Ασφάλειας Πληροφοριών της ΕΥΕΔ και η Διεύθυνση Κέντρου Αντιμετώπισης Κρίσεων (CRC), εντός των αντίστοιχων τομέων ευθύνης τους, στηρίζουν τον πρόεδρο σε αυτό το καθήκον και παρέχουν διοικητική συνδρομή, όταν κρίνεται απαραίτητο, στις εργασίες της επιτροπής.
2. Η Επιτροπή Ασφάλειας της ΕΥΕΔ απαρτίζεται από εκπροσώπους:
|
— |
κάθε κράτους μέλους, |
|
— |
του Γραφείου Ασφάλειας της Γενικής Γραμματείας του Συμβουλίου, |
|
— |
της Διεύθυνσης Ασφάλειας της Γενικής Διεύθυνσης Ανθρωπίνων Πόρων και Ασφάλειας της Επιτροπής. |
Μια αντιπροσωπεία κράτους μέλους στην Επιτροπή Ασφάλειας της ΕΥΕΔ μπορεί να απαρτίζεται από μέλη:
|
— |
της Εθνικής Αρχής Ασφάλειας (ΕΑΑ) και/ή της Καθορισμένης Αρχής Ασφάλειας (ΚΑΑ), |
|
— |
των αρμόδιων για την ασφάλεια τμημάτων των υπουργείων Εξωτερικών (ΥΠΕΞ). |
3. Οι εκπρόσωποι της επιτροπής μπορούν να πλαισιώνονται και να δέχονται συμβουλές από εμπειρογνώμονες, αναλόγως των αναγκών τους. Μπορούν να προσκαλούνται να παραστούν εκπρόσωποι θεσμικών και λοιπών οργάνων και οργανισμών της ΕΕ όταν εξετάζονται ζητήματα σχετικά με την ασφάλεια αυτών.
4. Με την επιφύλαξη της παραγράφου 5 παρακάτω, η Επιτροπή Ασφάλειας της ΕΥΕΔ επικουρεί την ΕΥΕΔ, μέσω διαβουλεύσεων, για όλα τα ζητήματα ασφάλειας που αφορούν τις δραστηριότητες της ΕΥΕΔ, την έδρα της και τις αντιπροσωπείες της Ένωσης.
Συγκεκριμένα, με την επιφύλαξη της παραγράφου 5 παρακάτω, η Επιτροπή Ασφάλειας της ΕΥΕΔ:
|
α) |
καλείται να διατυπώσει γνώμη σχετικά με:
|
|
β) |
μπορεί να κληθεί να διατυπώσει γνώμη ή να ενημερωθεί, ανάλογα με την περίπτωση, σχετικά με ζητήματα που αφορούν την ασφάλεια του προσωπικού και των περιουσιακών στοιχείων εντός της έδρας της ΕΥΕΔ και των αντιπροσωπειών της Ένωσης, με την επιφύλαξη του άρθρου 3 παράγραφος 3· |
|
γ) |
ενημερώνεται για τυχόν διαρροές ή απώλειες ΔΠΕΕ που συμβαίνουν εντός της ΕΥΕΔ. |
5. Τυχόν αλλαγή των κανόνων που αφορούν την προστασία των ΔΠΕΕ και περιέχονται στην παρούσα απόφαση και στο παράρτημα Α αυτής απαιτεί την ομόφωνη ευνοϊκή γνώμη των κρατών μελών όπως εκπροσωπούνται στην Επιτροπή Ασφάλειας της ΕΥΕΔ. Ομόφωνη ευνοϊκή γνώμη απαιτείται επίσης πριν από:
|
— |
την έναρξη διαπραγματεύσεων για διοικητικούς διακανονισμούς, όπως αναφέρεται στο άρθρο 10 παράγραφος 1 στοιχείο β) του παραρτήματος Α, |
|
— |
την κοινοποίηση διαβαθμισμένων πληροφοριών στις εξαιρετικές περιστάσεις που αναφέρονται στις παραγράφους 9, 11 και 12 του παραρτήματος A VI, |
|
— |
την ανάληψη της ευθύνης του φορέα προέλευσης των πληροφοριών στις περιστάσεις που αναφέρονται στο άρθρο 10 παράγραφος 6 τελευταία περίοδος του παραρτήματος Α. |
Όταν απαιτείται ομόφωνη ευνοϊκή γνώμη, ο όρος αυτός πληρούται όταν δεν εκφράζονται αντιρρήσεις από τις αντιπροσωπείες των κρατών μελών κατά τη διάρκεια των εργασιών της επιτροπής.
6. Η Επιτροπή Ασφάλειας της ΕΥΕΔ λαμβάνει πλήρως υπόψη τις πολιτικές και κατευθυντήριες γραμμές ασφάλειας που ισχύουν στο Συμβούλιο και την Επιτροπή.
7. Η Επιτροπή Ασφάλειας της ΕΥΕΔ λαμβάνει τον κατάλογο των ετήσιων επιθεωρήσεων της ΕΥΕΔ και τις εκθέσεις επιθεώρησης αμέσως μόλις οριστικοποιούνται.
8. Διοργάνωση των συνεδριάσεων:
|
— |
Η Επιτροπή Ασφάλειας της ΕΥΕΔ συνεδριάζει τουλάχιστον δύο φορές τον χρόνο. Μπορούν να διοργανώνονται από τον πρόεδρο ή να ζητούνται από τα μέλη της επιτροπής πρόσθετες συνεδριάσεις, είτε με σύνθεση ολομέλειας, είτε με σύνθεση ΕΑΑ/ΚΑΑ, είτε με σύνθεση ασφάλειας ΥΠΕΞ. |
|
— |
Η Επιτροπή Ασφάλειας της ΕΥΕΔ οργανώνει τις δραστηριότητές της κατά τέτοιον τρόπο ώστε να μπορεί να διατυπώνει συστάσεις για συγκεκριμένους τομείς ασφάλειας. Μπορεί να συγκροτεί άλλες υποομάδες εμπειρογνωμόνων ανάλογα με τις ανάγκες. Η επιτροπή ορίζει τα καθήκοντα αυτών των υποομάδων εμπειρογνωμόνων, οι οποίες της υποβάλλουν εκθέσεις σχετικά με τις δραστηριότητές τους. |
|
— |
Η Διεύθυνση Ασφάλειας Έδρας και Ασφάλειας Πληροφοριών της ΕΥΕΔ και η Διεύθυνση Κέντρου Αντιμετώπισης Κρίσεων (CRC) είναι η καθεμιά αρμόδια για την προετοιμασία των σημείων προς συζήτηση στο πλαίσιο του αντίστοιχου τομέα ευθύνης της. Ο πρόεδρος καταρτίζει την προσωρινή ημερήσια διάταξη για κάθε συνεδρίαση. Τα μέλη της επιτροπής μπορούν να προτείνουν πρόσθετα θέματα προς συζήτηση. |
Άρθρο 16
Επιθεωρήσεις ασφάλειας
1. Η Αρχή Ασφάλειας της ΕΥΕΔ μεριμνά για τη διεξαγωγή επιθεωρήσεων ασφάλειας σε τακτική βάση εντός της έδρας της ΕΥΕΔ και εντός των αντιπροσωπειών της Ένωσης, προκειμένου να αξιολογείται η επάρκεια της εφαρμογής των μέτρων ασφάλειας και να επιβεβαιώνεται η συμμόρφωσή τους με την παρούσα απόφαση. Η Διεύθυνση Ασφάλειας Έδρας και Ασφάλειας Πληροφοριών της ΕΥΕΔ, σε συνεργασία με τη Διεύθυνση Κέντρου Αντιμετώπισης Κρίσεων (CRC), μπορεί, όπου αρμόζει, να ορίζει συνεργαζόμενους εμπειρογνώμονες για να συμμετέχουν σε επιθεωρήσεις ασφάλειας σε οργανισμούς και όργανα της ΕΕ που έχουν συσταθεί δυνάμει του τίτλου V κεφάλαιο 2 της ΣΕΕ.
2. Οι επιθεωρήσεις ασφάλειας της ΕΥΕΔ διενεργούνται υπό την εποπτεία της Διεύθυνσης Ασφάλειας Έδρας και Ασφάλειας Πληροφοριών της ΕΥΕΔ, με υποστήριξη από το Κέντρο Αντιμετώπισης Κρίσεων (CRC) της ΕΥΕΔ όπου είναι σκόπιμο, καθώς και, στο πλαίσιο των διακανονισμών που αναφέρονται στο άρθρο 3 παράγραφος 3, με υποστήριξη από εμπειρογνώμονες ασφάλειας που εκπροσωπούν άλλα θεσμικά όργανα της ΕΕ ή κράτη μέλη.
3. Η ΕΥΕΔ μπορεί να βασίζεται, όπου απαιτείται, στην εμπειρογνωσία των κρατών μελών, της Γενικής Γραμματείας του Συμβουλίου και της Επιτροπής.
Όπου κρίνεται σκόπιμο, μπορούν να προσκαλούνται να συμμετάσχουν στην επιθεώρηση ασφάλειας της αντιπροσωπείας της Ένωσης αρμόδιοι εμπειρογνώμονες στον τομέα της ασφάλειας που έχουν την έδρα τους σε αποστολές κρατών μελών σε τρίτα κράτη και/ή εκπρόσωποι των τμημάτων διπλωματικής ασφάλειας των κρατών μελών.
4. Οι διατάξεις εφαρμογής του παρόντος άρθρου όσον αφορά την προστασία των ΔΠΕΕ περιέχονται στο παράρτημα Α III.
Άρθρο 17
Επισκέψεις αξιολόγησης
Διοργανώνονται επισκέψεις αξιολόγησης για να εξακριβώνεται η αποτελεσματικότητα των μέτρων ασφάλειας που έχουν θεσπιστεί σε τρίτο κράτος ή διεθνή οργανισμό για την προστασία των ΔΠΕΕ που ανταλλάσσονται στο πλαίσιο διοικητικού διακανονισμού του άρθρου 10 παράγραφος 1 στοιχείο β) του παραρτήματος Α.
Η Διεύθυνση Ασφάλειας Έδρας και Ασφάλειας Πληροφοριών της ΕΥΕΔ μπορεί να ορίζει συνεργαζόμενους εμπειρογνώμονες για να συμμετέχουν σε επισκέψεις αξιολόγησης σε τρίτα κράτη ή διεθνείς οργανισμούς με τους οποίους η ΕΕ έχει συνάψει συμφωνία ασφάλειας πληροφοριών όπως αναφέρεται στο άρθρο 10 παράγραφος 1 στοιχείο α) του παραρτήματος Α.
Άρθρο 18
Σχεδιασμός επιχειρησιακής συνέχειας
Η Διεύθυνση Ασφάλειας Έδρας και Ασφάλειας Πληροφοριών της ΕΥΕΔ και η Διεύθυνση Κέντρου Αντιμετώπισης Κρίσεων (CRC) επικουρούν την Αρχή Ασφάλειας της ΕΥΕΔ στη διαχείριση των σχετικών με την ασφάλεια πτυχών των διαδικασιών επιχειρησιακής συνέχειας της ΕΥΕΔ στο πλαίσιο του συνολικού σχεδιασμού επιχειρησιακής συνέχειας της ΕΥΕΔ.
Άρθρο 19
Ταξιδιωτικές συμβουλές για αποστολές εκτός της ΕΕ
Η Διεύθυνση Κέντρου Αντιμετώπισης Κρίσεων (CRC) μεριμνά για τη διαθεσιμότητα ταξιδιωτικών συμβουλών σχετικά με αποστολές προσωπικού που τελεί υπό την ευθύνη της ΕΥΕΔ εκτός της ΕΕ, αξιοποιώντας τους πόρους όλων των σχετικών υπηρεσιών της ΕΥΕΔ, ιδίως του INTCEN, της μονάδας αντικατασκοπίας της Γενικής Διεύθυνσης Διαχείρισης Πόρων, των γεωγραφικών τμημάτων και των αντιπροσωπειών της Ένωσης.
Η Διεύθυνση Κέντρου Αντιμετώπισης Κρίσεων (CRC) παρέχει, κατόπιν αιτήματος και βασιζόμενη στους προαναφερθέντες πόρους, ειδικές ταξιδιωτικές συμβουλές σχετικά με αποστολές προσωπικού που τελεί υπό την ευθύνη της ΕΥΕΔ σε τρίτα κράτη που παρουσιάζουν υψηλό ή αυξημένο επίπεδο κινδύνου.
Άρθρο 20
Υγεία και ασφάλεια
Οι κανόνες ασφάλειας της ΕΥΕΔ συμπληρώνουν τους κανόνες της για την προστασία της υγείας και της ασφάλειας, όπως εγκρίνονται από τον ύπατο εκπρόσωπο.
Άρθρο 21
Εφαρμογή και επανεξέταση
1. Η Αρχή Ασφάλειας της ΕΥΕΔ εγκρίνει, κατόπιν διαβούλευσης με την Επιτροπή Ασφάλειας της ΕΥΕΔ κατά περίπτωση, κατευθυντήριες γραμμές ασφάλειας που ορίζουν οποιαδήποτε μέτρα είναι απαραίτητα για την εφαρμογή των κανόνων αυτών στην ΕΥΕΔ, και ενισχύει την αναγκαία ικανότητα για την κάλυψη όλων των πτυχών της ασφάλειας, σε στενή συνεργασία με τις αρμόδιες αρχές ασφάλειας των κρατών μελών και με την υποστήριξη των αρμόδιων υπηρεσιών των θεσμικών οργάνων της ΕΕ.
2. Σύμφωνα με το άρθρο 4 παράγραφος 5 της απόφασης 2010/427/ΕΕ του Συμβουλίου και εφόσον είναι αναγκαίο, η ΕΥΕΔ μπορεί να συνάπτει διακανονισμούς σε επίπεδο υπηρεσιών με τις αρμόδιες υπηρεσίες της Γενικής Γραμματείας του Συμβουλίου και της Επιτροπής.
3. Ο ύπατος εκπρόσωπος μεριμνά για τη γενικότερη συνέπεια στην εφαρμογή της παρούσας απόφασης και επανεξετάζει τακτικά αυτούς τους κανόνες ασφάλειας.
4. Οι κανόνες ασφάλειας της ΕΥΕΔ πρέπει να εφαρμόζονται σε στενή συνεργασία με τις αρμόδιες αρχές ασφάλειας των κρατών μελών.
5. Η ΕΥΕΔ μεριμνά ώστε να λαμβάνονται υπόψη όλες οι πτυχές της διαδικασίας ασφάλειας στο πλαίσιο του συστήματος αντιμετώπισης κρίσεων της ΕΥΕΔ.
6. Ο γενικός γραμματέας, ως η Αρχή Ασφάλειας, ο διευθυντής της Διεύθυνσης Ασφάλειας Έδρας και Ασφάλειας Πληροφοριών της ΕΥΕΔ και ο διευθυντής του Κέντρου Αντιμετώπισης Κρίσεων (CRC) μεριμνούν για την εφαρμογή της παρούσας απόφασης.
Άρθρο 22
Αντικατάσταση προηγούμενων αποφάσεων
Η παρούσα απόφαση καταργεί και αντικαθιστά την απόφαση ADMIN (2017)10 της ύπατης εκπροσώπου της Ένωσης για θέματα Εξωτερικής Πολιτικής και Πολιτικής Ασφαλείας, της 19ης Σεπτεμβρίου 2017, σχετικά με τους κανόνες ασφάλειας για την Ευρωπαϊκή Υπηρεσία Εξωτερικής Δράσης (5).
Άρθρο 23
Τελικές διατάξεις
Η παρούσα απόφαση ισχύει από την ημέρα της υπογραφής της.
Δημοσιεύεται στην Επίσημη Εφημερίδα της Ευρωπαϊκής Ένωσης.
Η Αρχή Ασφάλειας της ΕΥΕΔ ενημερώνει δεόντως και εγκαίρως όλο το προσωπικό το οποίο εμπίπτει στο πεδίο εφαρμογής της παρούσας απόφασης και των παραρτημάτων της σχετικά με το περιεχόμενο, την έναρξη ισχύος και τυχόν μεταγενέστερες τροποποιήσεις τους.
Βρυξέλλες, 19 Ιουνίου 2023.
Josep BORRELL FONTELLES
Ύπατος Εκπρόσωπος της Ένωσης
για Θέματα Εξωτερικής Πολιτικής και Πολιτικής Ασφαλείας
(1) ΕΕ L 201 της 3.8.2010, σ. 30
(2) ΕΕ C 126, της 10.4.2018, σ.1.
(3) Κανονισμός υπηρεσιακής κατάστασης των υπαλλήλων της Ευρωπαϊκής Ένωσης και καθεστώς που εφαρμόζεται στο λοιπό προσωπικό της Ευρωπαϊκής Ένωσης (στο εξής: κανονισμός υπηρεσιακής κατάστασης)
(4) Κανονισμός (ΕΕ) 2018/1725 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 23ης Οκτωβρίου 2018, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα από τα θεσμικά και λοιπά όργανα και τους οργανισμούς της Ένωσης και την ελεύθερη κυκλοφορία των δεδομένων αυτών (ΕΕ L 295 της 21.11.2018, σ. 39).
ΠΑΡΑΡΤΗΜΑ A
ΑΡΧΈΣ ΚΑΙ ΠΡΌΤΥΠΑ ΓΙΑ ΤΗΝ ΠΡΟΣΤΑΣΊΑ ΤΩΝ ΔΠΕΕ
Άρθρο 1
Σκοπός, πεδίο εφαρμογής και ορισμοί
1. Το παρόν παράρτημα ορίζει τις βασικές αρχές και τα ελάχιστα πρότυπα ασφάλειας για την προστασία των ΔΠΕΕ.
2. Οι βασικές αρχές και τα ελάχιστα πρότυπα αυτά εφαρμόζονται στην ΕΥΕΔ και το προσωπικό που τελεί υπό την ευθύνη της ΕΥΕΔ, όπως αναφέρεται και ορίζεται αντίστοιχα στα άρθρα 1 και 2 της παρούσας απόφασης.
Άρθρο 2
Ορισμός των ΔΠΕΕ, διαβαθμίσεις και σημάνσεις ασφάλειας
1. «Διαβαθμισμένες πληροφορίες ΕΕ» (ΔΠΕΕ): κάθε πληροφορία ή υλικό που έχει χαρακτηριστεί με διαβάθμιση ασφάλειας ΕΕ και του οποίου η άνευ αδείας κοινολόγηση μπορεί να βλάψει ποικιλοτρόπως τα συμφέροντα της Ευρωπαϊκής Ένωσης ή ενός ή περισσότερων κρατών μελών.
2. Οι ΔΠΕΕ διαβαθμίζονται σε ένα από τα παρακάτω επίπεδα:
|
α) |
TRES SECRET UE/EU TOP SECRET: πληροφορίες και υλικό των οποίων η άνευ αδείας κοινολόγηση μπορεί να προξενήσει εξαιρετικά σοβαρή ζημία στα ζωτικά συμφέροντα της Ευρωπαϊκής Ένωσης ή ενός ή περισσότερων κρατών μελών· |
|
β) |
SECRET UE/EU SECRET: πληροφορίες και υλικό των οποίων η άνευ αδείας κοινολόγηση μπορεί να βλάψει σοβαρά τα ζωτικά συμφέροντα της Ευρωπαϊκής Ένωσης ή ενός ή περισσότερων κρατών μελών της· |
|
γ) |
CONFIDENTIEL UE/EU CONFIDENTIAL: πληροφορίες και υλικό των οποίων η άνευ αδείας κοινολόγηση μπορεί να βλάψει τα ζωτικά συμφέροντα της Ευρωπαϊκής Ένωσης ή ενός ή περισσοτέρων κρατών μελών· |
|
δ) |
RESTREINT UE/EU RESTRICTED: πληροφορίες και υλικό των οποίων η άνευ αδείας κοινολόγηση μπορεί να είναι αντίθετη προς τα συμφέροντα της Ευρωπαϊκής Ένωσης ή ενός ή περισσότερων κρατών μελών της. |
3. Οι ΔΠΕΕ φέρουν σήμανση διαβάθμισης ασφάλειας σύμφωνα με την παράγραφο 2. Μπορούν να φέρουν πρόσθετες σημάνσεις με τις οποίες ορίζεται ο τομέας δραστηριότητας με τον οποίο σχετίζονται, προσδιορίζεται ο φορέας προέλευσης, περιορίζεται η διανομή και η χρήση ή δηλώνεται η δυνατότητα κοινοποίησης.
Άρθρο 3
Διαχείριση των διαβαθμίσεων
1. Η ΕΥΕΔ μεριμνά για την ορθή διαβάθμιση των ΔΠΕΕ, τον σαφή προσδιορισμό τους ως διαβαθμισμένων πληροφοριών, καθώς και τη διατήρηση του επιπέδου διαβάθμισής τους μόνο για το διάστημα που είναι απαραίτητο.
2. Οι ΔΠΕΕ δεν υποχαρακτηρίζονται ούτε αποχαρακτηρίζονται ούτε τροποποιείται ή αφαιρείται οποιαδήποτε από τις σημάνσεις που αναφέρονται στο άρθρο 2 παράγραφος 3 χωρίς προηγούμενη γραπτή συγκατάθεση του φορέα προέλευσης.
3. Η Αρχή Ασφάλειας της ΕΥΕΔ εγκρίνει, κατόπιν διαβούλευσης με την Επιτροπή Ασφάλειας της ΕΥΕΔ σύμφωνα με το άρθρο 15 παράγραφος 5 της παρούσας απόφασης, κατευθυντήριες γραμμές ασφάλειας για τη δημιουργία ΔΠΕΕ οι οποίες θα περιλαμβάνουν πρακτικό οδηγό διαβαθμίσεων ασφάλειας.
Άρθρο 4
Προστασία διαβαθμισμένων πληροφοριών
1. Η προστασία των ΔΠΕΕ γίνεται σύμφωνα με την παρούσα απόφαση.
2. Ο κάτοχος κάθε ΔΠΕΕ είναι υπεύθυνος για την προστασία της σύμφωνα με την παρούσα απόφαση.
3. Όταν τα κράτη μέλη εισάγουν διαβαθμισμένες πληροφορίες με εθνική σήμανση διαβάθμισης ασφάλειας στις δομές ή στα δίκτυα της ΕΥΕΔ, η ΕΥΕΔ προστατεύει τις πληροφορίες αυτές σύμφωνα με τις απαιτήσεις που ισχύουν για τις ΔΠΕΕ στο ισοδύναμο επίπεδο, όπως ορίζεται στον πίνακα ισοδυναμίας των διαβαθμίσεων ασφάλειας του προσαρτήματος Β.
Η ΕΥΕΔ θεσπίζει κατάλληλες διαδικασίες για την τήρηση ακριβών αρχείων σχετικά με τον φορέα προέλευσης
|
— |
των διαβαθμισμένων πληροφοριών που λαμβάνει η ΕΥΕΔ, και |
|
— |
του υλικού πηγής που περιλαμβάνεται στις διαβαθμισμένες πληροφορίες που προέρχονται από την ΕΥΕΔ. |
Η Επιτροπή Ασφάλειας της ΕΥΕΔ ενημερώνεται για τις διαδικασίες αυτές.
4. Σε περίπτωση μεγάλου όγκου ή συγκέντρωσης ΔΠΕΕ, μπορεί να δικαιολογείται επίπεδο προστασίας που να αντιστοιχεί σε διαβάθμιση ανώτερη από αυτήν των επιμέρους στοιχείων τους.
Άρθρο 5
Ασφάλεια προσωπικού για τον χειρισμό διαβαθμισμένων πληροφοριών της ΕΕ
1. Ως ασφάλεια προσωπικού νοείται η εφαρμογή μέτρων προκειμένου να εξασφαλίζεται ότι πρόσβαση στις ΔΠΕΕ επιτρέπεται μόνο στα πρόσωπα τα οποία:
|
— |
έχουν ανάγκη γνώσης, |
|
— |
για πρόσβαση σε πληροφορίες με διαβάθμιση CONFIDENTIEL UE/EU CONFIDENTIAL ή ανώτερη, έχουν λάβει εξουσιοδότηση ασφάλειας του αντίστοιχου επιπέδου ή άλλη κατάλληλη άδεια βάσει των καθηκόντων τους σύμφωνα με τις εθνικές νομοθετικές και κανονιστικές διατάξεις, και |
|
— |
έχουν ενημερωθεί ως προς τις ευθύνες τους. |
2. Οι διαδικασίες εξουσιοδότησης ασφάλειας προσωπικού (ΕΑΠ) εξακριβώνουν αν μπορεί να επιτραπεί σε ένα πρόσωπο, βάσει της νομιμοφροσύνης, της φερεγγυότητας και της αξιοπιστίας του, η πρόσβαση σε ΔΠΕΕ.
3. Όλα τα πρόσωπα ενημερώνονται για τις ευθύνες τους όσον αφορά την προστασία των ΔΠΕΕ σύμφωνα με την παρούσα απόφαση και δηλώνουν εγγράφως ότι τις αποδέχονται, προτού τους επιτραπεί η πρόσβαση σε ΔΠΕΕ και κατά τακτά χρονικά διαστήματα στη συνέχεια.
4. Οι διατάξεις εφαρμογής του παρόντος άρθρου περιέχονται στο παράρτημα A I.
Άρθρο 6
Υλική ασφάλεια των διαβαθμισμένων πληροφοριών της ΕΕ
1. Υλική ασφάλεια είναι η εφαρμογή υλικών και τεχνικών μέτρων προστασίας για την αποτροπή της μη εξουσιοδοτημένης πρόσβασης σε ΔΠΕΕ.
2. Τα μέτρα υλικής ασφάλειας σχεδιάζονται έτσι ώστε να μην επιτρέπεται η λαθραία ή βίαιη είσοδος εισβολέων, να αποτρέπονται, να παρεμποδίζονται και να ανιχνεύονται οι μη εξουσιοδοτημένες ενέργειες και να καθίσταται δυνατή η διαφοροποίηση του προσωπικού όσον αφορά την πρόσβασή του σε ΔΠΕΕ βάσει της «ανάγκης γνώσης». Τα μέτρα αυτά καθορίζονται βάσει διαδικασίας διαχείρισης κινδύνων.
3. Μέτρα υλικής ασφάλειας τίθενται σε ισχύ για όλες τις εγκαταστάσεις, τα κτίρια, τα γραφεία, τις αίθουσες και άλλους χώρους όπου γίνεται χειρισμός ή αποθήκευση ΔΠΕΕ, συμπεριλαμβανομένων των χώρων που στεγάζουν συστήματα επικοινωνίας και πληροφοριών, όπως ορίζονται στο προσάρτημα Α της παρούσας απόφασης.
4. Οι χώροι στους οποίους αποθηκεύονται ΔΠΕΕ με διαβάθμιση CONFIDENTIEL UE/EU CONFIDENTIAL ή ανώτερη διαμορφώνονται ως χώροι ασφάλειας σύμφωνα με το παράρτημα Α ΙΙ και εγκρίνονται από την Αρχή Ασφάλειας της ΕΥΕΔ.
5. Για την προστασία ΔΠΕΕ με διαβάθμιση CONFIDENTIEL UE/EU CONFIDENTIAL ή ανώτερη, χρησιμοποιούνται μόνο εγκεκριμένος εξοπλισμός ή εγκεκριμένες συσκευές.
6. Οι διατάξεις εφαρμογής του παρόντος άρθρου περιέχονται στο παράρτημα A II.
Άρθρο 7
Διαχείριση των διαβαθμισμένων πληροφοριών
1. Διαχείριση των διαβαθμισμένων πληροφοριών είναι η εφαρμογή διοικητικών μέτρων για τον έλεγχο των ΔΠΕΕ καθ’ όλη τη διάρκεια του κύκλου ζωής τους με στόχο τη συμπλήρωση των μέτρων που προβλέπουν τα άρθρα 5, 6 και 8 και την κατ’ αυτόν τον τρόπο συμβολή στην αποτροπή και ανίχνευση εσκεμμένων ή τυχαίων διαρροών ή απωλειών των πληροφοριών αυτών, καθώς και στην αποκατάσταση έπειτα τέτοια περιστατικά. Τα μέτρα αυτά αφορούν ειδικότερα τη δημιουργία, την καταχώριση, την αντιγραφή, τη μετάφραση, τη μεταφορά, τον χειρισμό, την αποθήκευση και την καταστροφή ΔΠΕΕ.
2. Οι πληροφορίες με διαβάθμιση CONFIDENTIEL UE/EU CONFIDENTIAL ή ανώτερη καταχωρίζονται, για λόγους ασφάλειας, πριν από τη διανομή και κατά την παραλαβή. Οι αρμόδιες αρχές στην ΕΥΕΔ καθιερώνουν γραμματειακό σύστημα για τον σκοπό αυτό. Οι πληροφορίες με διαβάθμιση TRES SECRET UE/EU TOP SECRET καταχωρίζονται σε καθορισμένες γραμματείες.
3. Οι υπηρεσίες και οι εγκαταστάσεις όπου γίνεται χειρισμός ή αποθήκευση ΔΠΕΕ υπόκεινται σε τακτική επιθεώρηση από την Αρχή Ασφάλειας της ΕΥΕΔ.
4. Οι ΔΠΕΕ διακινούνται μεταξύ των υπηρεσιών και των εγκαταστάσεων που βρίσκονται εκτός των χώρων που τυγχάνουν υλικής προστασίας ως εξής:
|
α) |
κατά κανόνα, οι ΔΠΕΕ διαβιβάζονται με ηλεκτρονικά μέσα που προστατεύονται με κρυπτογραφικά προϊόντα τα οποία έχουν εγκριθεί σύμφωνα με το άρθρο 7 παράγραφος 5 της παρούσας απόφασης και σύμφωνα με σαφώς καθορισμένες λειτουργικές διαδικασίες ασφάλειας (ΛΔΑ)· |
|
β) |
όταν δεν χρησιμοποιούνται τα μέσα που αναφέρονται στο στοιχείο α), οι ΔΠΕΕ μεταφέρονται:
|
5. Οι διατάξεις εφαρμογής του παρόντος άρθρου περιέχονται στο παράρτημα A III.
Άρθρο 8
Προστασία των ΔΠΕΕ που αποτελούν αντικείμενο χειρισμού σε συστήματα επικοινωνίας και πληροφοριών
1. Διασφάλιση των πληροφοριών (ΔΠ) στον τομέα των συστημάτων επικοινωνίας και πληροφοριών είναι η βεβαιότητα ότι τα συστήματα αυτά θα προστατεύουν τις πληροφορίες που χειρίζονται και θα λειτουργούν όπως και όταν χρειάζεται υπό τον έλεγχο νόμιμων χρηστών. Η αποτελεσματική ΔΠ διασφαλίζει κατάλληλα επίπεδα εμπιστευτικότητας, ακεραιότητας, διαθεσιμότητας, μη άρνησης αναγνώρισης και γνησιότητας. Η ΔΠ βασίζεται σε διαδικασία διαχείρισης κινδύνων.
2. Τα ΣΕΠ χειρίζονται τις ΔΠΕΕ σύμφωνα με την έννοια της ΔΠ.
3. Όλα τα ΣΕΠ που χειρίζονται ΔΠΕΕ υποβάλλονται σε διαδικασία πιστοποίησης. Η πιστοποίηση αποσκοπεί να διαβεβαιώσει ότι έχουν εφαρμοστεί όλα τα ενδεδειγμένα μέτρα ασφάλειας και ότι έχει επιτευχθεί ικανοποιητικό επίπεδο προστασίας των ΔΠΕΕ και του ΣΕΠ, σύμφωνα με την παρούσα απόφαση. Η δήλωση πιστοποίησης καθορίζει το μέγιστο επιτρεπτό επίπεδο διαβάθμισης των πληροφοριών που μπορεί να αποτελέσει αντικείμενο χειρισμού σε ΣΕΠ, καθώς και τους αντίστοιχους όρους και προϋποθέσεις.
4. Τα ΣΕΠ που χειρίζονται πληροφορίες με διαβάθμιση CONFIDENTIEL UE/EU CONFIDENTIAL και ανώτερη προστατεύονται κατά τρόπον ώστε οι διαβαθμισμένες πληροφορίες να μην μπορούν να διαρρεύσουν μέσω ακούσιων ηλεκτρομαγνητικών εκπομπών («μέτρα ασφάλειας TEMPEST»).
5. Όταν η προστασία ΔΠΕΕ παρέχεται με κρυπτογραφικά προϊόντα, τα προϊόντα αυτά εγκρίνονται σύμφωνα με το άρθρο 8 παράγραφος 5 της παρούσας απόφασης.
6. Κατά τη διαβίβαση ΔΠΕΕ με ηλεκτρονικά μέσα χρησιμοποιούνται εγκεκριμένα κρυπτογραφικά προϊόντα. Παρά την απαίτηση αυτή, μπορούν να χρησιμοποιούνται ειδικές διαδικασίες σε έκτακτες περιστάσεις ή ειδικές τεχνικές διαμορφώσεις όπως ορίζονται στο παράρτημα A IV.
7. Σύμφωνα με το άρθρο 8 παράγραφος 6 της παρούσας απόφασης, θεσπίζονται, στον βαθμό που είναι αναγκαίο, οι παρακάτω λειτουργίες ΔΠ:
|
α) |
Αρχή ΔΠ (ΑΔΠ); |
|
β) |
Αρχή TEMPEST (ΑΤ); |
|
γ) |
Αρχή Έγκρισης Κρυπτογραφικών Μεθόδων (ΑΕΚΜ); |
|
δ) |
Αρχή Διανομής Κρυπτογραφικών Μεθόδων (ΑΔΚΜ). |
8. Σύμφωνα με το άρθρο 8 παράγραφος 7 της παρούσας απόφασης, για κάθε σύστημα θεσπίζονται:
|
α) |
Αρχή Πιστοποίησης της Ασφάλειας (ΑΠΑ); |
|
β) |
Επιχειρησιακή Αρχή ΔΠ (ΕΑΔΠ). |
9. Οι διατάξεις εφαρμογής του παρόντος άρθρου περιέχονται στο παράρτημα A IV.
Άρθρο 9
Βιομηχανική ασφάλεια
1. Ως βιομηχανική ασφάλεια νοείται η εφαρμογή μέτρων διασφάλισης της προστασίας των ΔΠΕΕ από τους εργολάβους ή τους υπεργολάβους κατά τις προσυμβατικές διαπραγματεύσεις και καθ’ όλη τη διάρκεια του κύκλου ζωής των διαβαθμισμένων συμβάσεων εργολαβίας. Κατά κανόνα, οι συμβάσεις αυτές δεν περιλαμβάνουν πρόσβαση σε πληροφορίες με διαβάθμιση TRES SECRET UE/EU TOP SECRET.
2. Η ΕΥΕΔ μπορεί να αναθέτει με σύμβαση καθήκοντα που αφορούν ή συνεπάγονται πρόσβαση σε ΔΠΕΕ ή χειρισμό ή αποθήκευση ΔΠΕΕ από βιομηχανικούς ή άλλους φορείς που έχουν την έδρα τους σε κράτος μέλος ή σε τρίτο κράτος που έχει συνάψει συμφωνία ασφάλειας πληροφοριών ή διοικητικό διακανονισμό σύμφωνα με το άρθρο 10 παράγραφος 1 του παραρτήματος Α.
3. Κατά την ανάθεση διαβαθμισμένων συμβάσεων εργολαβίας σε βιομηχανικούς ή άλλους φορείς, η ΕΥΕΔ μεριμνά, ως αναθέτουσα αρχή, να τηρούνται τα ελάχιστα πρότυπα βιομηχανικής ασφάλειας που καθορίζονται στην παρούσα απόφαση και αναφέρονται στη σύμβαση. Μεριμνά για τη συμμόρφωση με αυτά τα ελάχιστα πρότυπα μέσω της αρμόδιας ΕΑΑ/ΚΑΑ.
4. Οι εργολάβοι ή υπεργολάβοι που έχουν την έδρα τους σε κράτος μέλος και συμμετέχουν σε διαβαθμισμένες συμβάσεις εργολαβίας ή υπεργολαβίας και απαιτείται να χειρίζονται και να αποθηκεύουν πληροφορίες με διαβάθμιση CONFIDENTIEL UE/EU CONFIDENTIAL ή SECRET UE/EU SECRET εντός των εγκαταστάσεών τους, είτε κατά την εκτέλεση των συμβάσεων αυτών είτε κατά το προσυμβατικό στάδιο, λαμβάνουν εξουσιοδότηση ασφάλειας φορέα (ΕΑΦ) στο οικείο επίπεδο διαβάθμισης από την ΕΑΑ, την ΚΑΑ ή άλλη αρμόδια αρχή ασφάλειας του συγκεκριμένου κράτους μέλους.
5. Οι υπάλληλοι του εργολάβου ή του υπεργολάβου οι οποίοι, για την εκτέλεση διαβαθμισμένης σύμβασης εργολαβίας, χρειάζονται πρόσβαση σε πληροφορίες με διαβάθμιση CONFIDENTIEL UE/EU CONFIDENTIAL ή SECRET UE/EU SECRET λαμβάνουν ΕΑΠ από την αντίστοιχη Εθνική Αρχή Ασφάλειας (ΕΑΑ), την Καθορισμένη Αρχή Ασφάλειας (ΚΑΑ) ή οποιαδήποτε άλλη αρμόδια αρχή ασφάλειας σύμφωνα με τις εθνικές νομοθετικές και κανονιστικές διατάξεις και τα ελάχιστα πρότυπα που ορίζονται στο παράρτημα Α Ι.
6. Οι διατάξεις εφαρμογής του παρόντος άρθρου περιέχονται στο παράρτημα A V.
Άρθρο 10
Ανταλλαγή διαβαθμισμένων πληροφοριών με τρίτα κράτη και διεθνείς οργανισμούς
1. Η ΕΥΕΔ μπορεί να ανταλλάσσει ΔΠΕΕ με τρίτο κράτος ή διεθνή οργανισμό μόνο όταν:
|
α) |
υφίσταται ισχύουσα συμφωνία ασφάλειας πληροφοριών μεταξύ της ΕΕ και του τρίτου κράτους ή του διεθνούς οργανισμού, η οποία έχει συναφθεί σύμφωνα με το άρθρο 37 της ΣΕΕ και το άρθρο 218 της ΣΛΕΕ· ή |
|
β) |
έχει τεθεί σε εφαρμογή διοικητικός διακανονισμός μεταξύ του ύπατου εκπροσώπου και των αρμόδιων αρχών ασφάλειας του τρίτου κράτους ή του διεθνούς οργανισμού για την ανταλλαγή πληροφοριών με διαβάθμιση που, καταρχήν, δεν υπερβαίνει το επίπεδο RESTREINT UE/EU RESTRICTED, σύμφωνα με τη διαδικασία που ορίζεται στο άρθρο 15 παράγραφος 5 της παρούσας απόφασης· ή |
|
γ) |
εφαρμόζεται συμφωνία-πλαίσιο συμμετοχής ή ad hoc συμφωνία συμμετοχής μεταξύ της ΕΕ και του τρίτου κράτους στο πλαίσιο επιχείρησης ΚΠΑΑ για την αντιμετώπιση κρίσεων που έχει συναφθεί σύμφωνα με το άρθρο 37 της ΣΕΕ και το άρθρο 218 της ΣΛΕΕ· και πληρούνται οι προϋποθέσεις που ορίζονται στη συγκεκριμένη πράξη. Οι εξαιρέσεις στον ανωτέρω γενικό κανόνα παρατίθενται στο παράρτημα A VI τμήμα V. |
2. Οι διοικητικοί διακανονισμοί που αναφέρονται στην παράγραφο 1 στοιχείο β) περιέχουν διατάξεις που διασφαλίζουν ότι, όταν τρίτα κράτη ή διεθνείς οργανισμοί λαμβάνουν ΔΠΕΕ, οι πληροφορίες αυτές προστατεύονται δεόντως ανάλογα με το επίπεδο διαβάθμισής τους και σύμφωνα με ελάχιστα πρότυπα τουλάχιστον το ίδιο αυστηρά με τα πρότυπα που ορίζονται στην παρούσα απόφαση.
Οι πληροφορίες που ανταλλάσσονται βάσει των συμφωνιών που αναφέρονται στην παράγραφο 1 στοιχείο γ) περιορίζονται στις πληροφορίες που αφορούν επιχειρήσεις ΚΠΑΑ στις οποίες συμμετέχει το συγκεκριμένο τρίτο κράτος στο πλαίσιο αυτών των συμφωνιών και σε συμμόρφωση με τις διατάξεις τους.
3. Εάν συναφθεί εν συνεχεία συμφωνία ασφάλειας πληροφοριών μεταξύ της Ένωσης και συνεισφέροντος τρίτου κράτους ή διεθνούς οργανισμού, η συμφωνία ασφάλειας πληροφοριών υπερισχύει της διάταξης σχετικά με την ανταλλαγή διαβαθμισμένων πληροφοριών που προβλέπεται σε τυχόν συμφωνίες-πλαίσια συμμετοχής, ad hoc συμφωνίες συμμετοχής ή ad hoc διοικητικούς διακανονισμούς, όσον αφορά την ανταλλαγή και τον χειρισμό των ΔΠΕΕ.
4. Οι ΔΠΕΕ που παράγονται για τους σκοπούς επιχείρησης ΚΠΑΑ μπορούν να κοινολογούνται στο προσωπικό που έχει αποσπασθεί στην επιχείρηση αυτή από τρίτα κράτη ή διεθνείς οργανισμούς σύμφωνα με τις παραγράφους 1 έως 3 και με το παράρτημα A VI. Όταν εγκρίνεται η πρόσβαση του προσωπικού αυτού σε ΔΠΕΕ σε εγκαταστάσεις ή σε ΣΕΠ επιχείρησης ΚΠΑΑ, εφαρμόζονται μέτρα (όπως καταγραφή των κοινολογούμενων ΔΠΕΕ) για τον περιορισμό του κινδύνου απώλειας ή διαρροής. Τα μέτρα αυτά περιγράφονται στα οικεία έγγραφα σχεδιασμού ή αποστολής.
5. Διοργανώνονται επισκέψεις αξιολόγησης σε τρίτα κράτη και διεθνείς οργανισμούς, όπως αναφέρεται στο άρθρο 17 της παρούσας απόφασης, προκειμένου να εξακριβώνεται η αποτελεσματικότητα των μέτρων ασφάλειας που έχουν θεσπιστεί για την προστασία των ανταλλασσόμενων ΔΠΕΕ.
6. Η απόφαση της ΕΥΕΔ να κοινοποιήσει ΔΠΕΕ που κατέχει η ίδια σε τρίτο κράτος ή διεθνή οργανισμό λαμβάνεται κατά περίπτωση, ανάλογα με τη φύση και το περιεχόμενο των πληροφοριών, την ανάγκη γνώσης του παραλήπτη και τα σχετικά πλεονεκτήματα για την ΕΕ.
Η ΕΥΕΔ ζητεί τη γραπτή συγκατάθεση κάθε φορέα που έχει παράσχει διαβαθμισμένες πληροφορίες ως υλικό πηγής για ΔΠΕΕ που δημιουργεί η ΕΥΕΔ, προκειμένου να διασφαλίσει ότι δεν υπάρχουν αντιρρήσεις για την κοινοποίησή τους.
Εάν ο φορέας προέλευσης των διαβαθμισμένων πληροφοριών των οποίων ζητείται η κοινοποίηση δεν είναι η ΕΥΕΔ, τότε η ΕΥΕΔ ζητεί πρώτα τη γραπτή συγκατάθεση του φορέα αυτού για την κοινοποίηση.
Εάν, ωστόσο, η ΕΥΕΔ δεν μπορεί να εξακριβώσει τον φορέα προέλευσης, τότε η Αρχή Ασφάλειας της ΕΥΕΔ αναλαμβάνει την ευθύνη του φορέα προέλευσης, αφού πρώτα λάβει την ομόφωνη ευνοϊκή γνώμη των κρατών μελών, όπως εκπροσωπούνται στην Επιτροπή Ασφάλειας της ΕΥΕΔ.
7. Οι διατάξεις εφαρμογής του παρόντος άρθρου περιέχονται στο παράρτημα A VI.
Άρθρο 11
Παραβιάσεις της ασφάλειας και διαρροή διαβαθμισμένων πληροφοριών
1. Κάθε παραβίαση ή υπόνοια παραβίασης της ασφάλειας και κάθε διαρροή ή υπόνοια διαρροής διαβαθμισμένων πληροφοριών αναφέρεται αμέσως στη Διεύθυνση Ασφάλειας Έδρας και Ασφάλειας Πληροφοριών της ΕΥΕΔ, η οποία ενημερώνει, κατά περίπτωση, το ή τα οικεία κράτη μέλη ή κάθε άλλον εμπλεκόμενο φορέα.
2. Όταν είναι γνωστό ή όταν υπάρχουν εύλογες υπόνοιες ότι επήλθε διαρροή ή απώλεια διαβαθμισμένων πληροφοριών, η Διεύθυνση Ασφάλειας Έδρας και Ασφάλειας Πληροφοριών της ΕΥΕΔ ενημερώνει την ΕΑΑ του ή των οικείων κρατών μελών και λαμβάνει όλα τα κατάλληλα μέτρα σύμφωνα με τις σχετικές νομοθετικές και κανονιστικές διατάξεις προκειμένου:
|
α) |
να διασφαλιστούν τα αποδεικτικά στοιχεία· |
|
β) |
να διασφαλιστεί ότι η υπόθεση διερευνάται από προσωπικό που δεν σχετίζεται άμεσα με την παραβίαση ή διαρροή, προκειμένου να διαπιστωθούν τα πραγματικά περιστατικά· |
|
γ) |
να ενημερωθεί αμέσως ο φορέας προέλευσης ή οποιοσδήποτε άλλος εμπλεκόμενος φορέας· |
|
δ) |
να ληφθούν τα κατάλληλα μέτρα για να αποτραπεί τυχόν επανάληψη· |
|
ε) |
να αξιολογηθεί η τυχόν ζημία που προκλήθηκε στα συμφέροντα της ΕΕ ή των κρατών μελών· και |
|
στ) |
να ειδοποιηθούν οι αρμόδιες αρχές για τις επιπτώσεις της διαρροής που επήλθε ή για την οποία υπάρχει υπόνοια ότι επήλθε, καθώς και για τα μέτρα που ελήφθησαν. |
3. Κάθε μέλος του προσωπικού που τελεί υπό την ευθύνη της ΕΥΕΔ και ευθύνεται για παραβίαση των κανόνων ασφάλειας της παρούσας απόφασης ενδέχεται να υποστεί πειθαρχικές κυρώσεις, σύμφωνα με τους εφαρμοστέους κανόνες και κανονισμούς.
Κάθε πρόσωπο που ευθύνεται για τη διαρροή ή την απώλεια διαβαθμισμένων πληροφοριών υπόκειται σε πειθαρχικές κυρώσεις και/ή δικαστικές ενέργειες σύμφωνα με τους εφαρμοστέους νόμους, κανόνες και κανονισμούς.
4. Όσο βρίσκεται σε εξέλιξη έρευνα για παραβίαση ασφάλειας και/ή διαρροή πληροφοριών, ο επικεφαλής της Διεύθυνσης Ασφάλειας Έδρας και Ασφάλειας Πληροφοριών της ΕΥΕΔ μπορεί να αναστείλει την πρόσβαση του συγκεκριμένου προσώπου στις ΔΠΕΕ και στις εγκαταστάσεις της ΕΥΕΔ. Για την απόφαση αυτή ενημερώνονται αμέσως η Διεύθυνση Ασφάλειας της Γενικής Διεύθυνσης Ανθρωπίνων Πόρων και Ασφάλειας της Επιτροπής, το Γραφείο Ασφάλειας της Γενικής Γραμματείας του Συμβουλίου ή η ΕΑΑ τού ή των οικείων κρατών μελών ή άλλος εμπλεκόμενος φορέας.
ΠΑΡΑΡΤΗΜΑ Α Ι
ΑΣΦΑΛΕΙΑ ΠΡΟΣΩΠΙΚΟΥ
I. ΕΙΣΑΓΩΓΗ
|
1. |
Το παρόν παράρτημα περιέχει διατάξεις για την εφαρμογή του άρθρου 5 του παραρτήματος Α. Συγκεκριμένα, παραθέτει τα κριτήρια που εφαρμόζει η ΕΥΕΔ προκειμένου να εξακριβώνει αν μπορεί να επιτραπεί σε ένα πρόσωπο, βάσει της νομιμοφροσύνης, της φερεγγυότητας και της αξιοπιστίας του, η πρόσβαση σε ΔΠΕΕ, καθώς και τις διαδικασίες έρευνας και διοικητικές διαδικασίες που πρέπει να ακολουθούνται για τον σκοπό αυτό. |
|
2. |
Η «εξουσιοδότηση ασφάλειας προσωπικού» (ΕΑΠ) για πρόσβαση σε ΔΠΕΕ είναι δήλωση της αρμόδιας αρχής ενός κράτους μέλους που διατυπώνεται μετά την ολοκλήρωση έρευνας ασφάλειας που διενεργείται από τις αρμόδιες αρχές του κράτους μέλους και πιστοποιεί ότι ένα πρόσωπο μπορεί, εφόσον έχει διαπιστωθεί η «ανάγκη γνώσης» του, να αποκτήσει πρόσβαση σε ΔΠΕΕ έως ένα συγκεκριμένο επίπεδο (CONFIDENTIEL UE/EU CONFIDENTIAL ή ανώτερο) μέχρι μια συγκεκριμένη ημερομηνία· το εν λόγω πρόσωπο θεωρείται, κατά τον τρόπο αυτόν, ότι έχει λάβει εξουσιοδότηση ασφάλειας. |
|
3. |
Το «πιστοποιητικό εξουσιοδότησης ασφάλειας προσωπικού» (ΠΕΑΠ) είναι πιστοποιητικό που εκδίδεται από την Αρχή Ασφάλειας της ΕΥΕΔ, βεβαιώνει ότι ένα πρόσωπο έχει λάβει εξουσιοδότηση ασφάλειας και αναφέρει το επίπεδο των ΔΠΕΕ στις οποίες μπορεί να χορηγηθεί πρόσβαση στο εν λόγω πρόσωπο, την ημερομηνία ισχύος της σχετικής ΕΑΠ και την ημερομηνία λήξης του ίδιου του πιστοποιητικού. |
|
4. |
Η «άδεια πρόσβασης σε ΔΠΕΕ» είναι άδεια που παρέχει η Αρχή Ασφάλειας της ΕΥΕΔ σύμφωνα με την παρούσα απόφαση, αφού εκδοθεί ΕΑΠ από τις αρμόδιες αρχές ενός κράτους μέλους, και η οποία πιστοποιεί ότι ένα πρόσωπο, υπό την προϋπόθεση ότι έχει διαπιστωθεί η «ανάγκη γνώσης» του, μπορεί να αποκτήσει πρόσβαση σε ΔΠΕΕ έως ένα συγκεκριμένο επίπεδο (CONFIDENTIEL UE/EU CONFIDENTIAL ή ανώτερο) μέχρι μια συγκεκριμένη ημερομηνία· το εν λόγω πρόσωπο θεωρείται, κατά τον τρόπο αυτόν, ότι έχει λάβει εξουσιοδότηση ασφάλειας. |
II. ΠΑΡΟΧΗ ΑΔΕΙΑΣ ΠΡΟΣΒΑΣΗΣ ΣΕ ΔΠΕΕ
|
5. |
Η πρόσβαση σε πληροφορίες με διαβάθμιση RESTREINT UE/EU RESTRICTED δεν απαιτεί εξουσιοδότηση ασφάλειας και παρέχεται εφόσον:
|
|
6. |
Ένα πρόσωπο μπορεί να λάβει άδεια πρόσβασης σε πληροφορίες με διαβάθμιση CONFIDENTIEL UE/EU CONFIDENTIAL ή ανώτερη μόνο εφόσον:
|
|
7. |
Η ΕΥΕΔ προσδιορίζει τις θέσεις εργασίας στο πλαίσιο της δομής της που απαιτούν πρόσβαση σε πληροφορίες με διαβάθμιση CONFIDENTIEL UE/EU CONFIDENTIAL ή ανώτερη και, ως εκ τούτου, απαιτούν ΕΑΠ του αντίστοιχου επιπέδου, όπως αναφέρεται στην παράγραφο 4 παραπάνω. |
|
8. |
Κάθε μέλος του προσωπικού της ΕΥΕΔ δηλώνει αν έχει την ιθαγένεια περισσότερων από μίας χωρών. |
Διαδικασίες αίτησης ΕΑΠ στην ΕΥΕΔ
|
9. |
Για το προσωπικό της ΕΥΕΔ, η Αρχή Ασφάλειας της ΕΥΕΔ διαβιβάζει το συμπληρωμένο ερωτηματολόγιο ασφάλειας προσωπικού στην ΕΑΑ του κράτους μέλους του οποίου υπήκοος είναι το ενδιαφερόμενο πρόσωπο, αιτούμενη να διενεργηθεί έρευνα ασφάλειας για το επίπεδο των ΔΠΕΕ στις οποίες το πρόσωπο θα χρειαστεί να αποκτήσει πρόσβαση. |
|
10. |
Όταν ένα πρόσωπο έχει την ιθαγένεια περισσότερων από μίας χωρών, το αίτημα ελέγχου θα απευθυνθεί στην ΕΑΑ της χώρας υπό την ιθαγένεια της οποίας προσλήφθηκε το εν λόγω πρόσωπο. |
|
11. |
Όταν γίνονται γνωστές στην ΕΥΕΔ πληροφορίες που είναι σημαντικές για την έρευνα ασφάλειας σχετικά με πρόσωπο που έχει υποβάλει αίτηση για ΕΑΠ, η ΕΥΕΔ, ενεργώντας σύμφωνα με τους οικείους κανόνες και κανονισμούς, ειδοποιεί σχετικά την αρμόδια ΕΑΑ. |
|
12. |
Μετά την ολοκλήρωση της έρευνας ασφάλειας, η αρμόδια ΕΑΑ κοινοποιεί στην Διεύθυνση Ασφάλειας Έδρας και Ασφάλειας Πληροφοριών της ΕΥΕΔ τα αποτελέσματα της εν λόγω έρευνας.
|
|
13. |
Η έρευνα ασφάλειας μαζί με τα πορίσματά της, στα οποία βασίζεται η απόφαση της Αρχής Ασφάλειας της ΕΥΕΔ σχετικά με το αν θα χορηγήσει άδεια πρόσβασης σε ΔΠΕΕ, υπόκειται στις νομοθετικές και κανονιστικές διατάξεις που ισχύουν σχετικώς στο οικείο κράτος μέλος, περιλαμβανομένων αυτών που αφορούν την άσκηση προσφυγών. Κατά των αποφάσεων της Αρχής Ασφάλειας της ΕΥΕΔ μπορούν να ασκηθούν προσφυγές με τους όρους που προβλέπονται στα άρθρα 90 και 91 του κανονισμού υπηρεσιακής κατάστασης. |
|
14. |
Η διαβεβαίωση στην οποία βασίζεται η ΕΑΠ, εφόσον διατηρεί την ισχύ της, καλύπτει την ανάθεση οποιουδήποτε καθήκοντος στο ενδιαφερόμενο πρόσωπο εντός της ΕΥΕΔ, της Γενικής Γραμματείας του Συμβουλίου ή της Επιτροπής. |
|
15. |
Η ΕΥΕΔ κάνει δεκτή την άδεια πρόσβασης σε ΔΠΕΕ που χορηγείται από οποιοδήποτε άλλο θεσμικό ή άλλο όργανο ή οργανισμό της Ευρωπαϊκής Ένωσης, εφόσον διατηρεί την ισχύ της. Οι άδειες καλύπτουν την ανάθεση οποιουδήποτε καθήκοντος στο ενδιαφερόμενο πρόσωπο εντός της ΕΥΕΔ. Το θεσμικό ή άλλο όργανο ή ο οργανισμός της Ευρωπαϊκής Ένωσης όπου προσλαμβάνεται το πρόσωπο ενημερώνει την αρμόδια ΕΑΑ σχετικά με την αλλαγή του εργοδότη. |
|
16. |
Αν η περίοδος υπηρεσίας ενός προσώπου δεν αρχίσει εντός 12 μηνών από την ανακοίνωση του αποτελέσματος της έρευνας ασφάλειας στην Αρχή Ασφάλειας της ΕΥΕΔ ή αν υπάρξει διακοπή στην υπηρεσία του για διάστημα 12 ή περισσότερων μηνών, κατά το οποίο δεν έχει υπηρετήσει στην ΕΥΕΔ, σε άλλα θεσμικά και λοιπά όργανα και οργανισμούς της ΕΕ ή σε θέση της εθνικής διοίκησης κράτους μέλους που απαιτεί πρόσβαση σε διαβαθμισμένες πληροφορίες, το αποτέλεσμα παραπέμπεται στην αρμόδια ΕΑΑ προκειμένου να επιβεβαιωθεί ότι εξακολουθεί να είναι έγκυρο και κατάλληλο. |
|
17. |
Όταν πληροφορείται ότι πρόσωπο που διαθέτει έγκυρη ΕΑΠ συνιστά κίνδυνο κατά της ασφάλειας, η ΕΥΕΔ, ενεργώντας σύμφωνα με τους οικείους κανόνες και κανονισμούς, ειδοποιεί σχετικά την αρμόδια ΕΑΑ και δύναται να ανακαλέσει την πρόσβαση σε ΔΠΕΕ ή να αποσύρει την άδεια πρόσβασης σε ΔΠΕΕ. Όταν μια ΕΑΑ κοινοποιεί στην ΕΥΕΔ την ανάκληση διαβεβαίωσης που έχει δοθεί σύμφωνα με την παράγραφο 12 στοιχείο α) για πρόσωπο που κατέχει έγκυρη άδεια πρόσβασης σε ΔΠΕΕ, η Αρχή Ασφάλειας της ΕΥΕΔ μπορεί να ζητήσει οποιαδήποτε διευκρίνιση μπορεί να παράσχει η ΕΑΑ σύμφωνα με τις οικείες εθνικές νομοθετικές και κανονιστικές διατάξεις. Εφόσον επιβεβαιωθούν οι αρνητικές πληροφορίες, ανακαλείται η προαναφερθείσα άδεια και απαγορεύεται η πρόσβαση του εν λόγω προσώπου σε ΔΠΕΕ και σε θέσεις από τις οποίες του είναι δυνατή αυτή η πρόσβαση ή μπορεί να θέσει σε κίνδυνο την ασφάλεια. |
|
18. |
Κάθε απόφαση με την οποία ανακαλείται η άδεια πρόσβασης μέλους του προσωπικού της ΕΥΕΔ σε ΔΠΕΕ, καθώς και, όπου κρίνεται σκόπιμο, οι σχετικοί λόγοι, κοινοποιούνται στο ενδιαφερόμενο πρόσωπο, το οποίο μπορεί να ζητήσει ακρόαση από την Αρχή Ασφάλειας της ΕΥΕΔ. Οι πληροφορίες που παρέχει η ΕΑΑ υπόκεινται στις νομοθετικές και κανονιστικές διατάξεις που ισχύουν σχετικώς στο οικείο κράτος μέλος, συμπεριλαμβανομένων εκείνων που αφορούν την άσκηση προσφυγών. Κατά των αποφάσεων της Αρχής Ασφάλειας της ΕΥΕΔ μπορούν να ασκηθούν προσφυγές με τους όρους που προβλέπονται στα άρθρα 90 και 91 του κανονισμού υπηρεσιακής κατάστασης. |
|
19. |
Οι εθνικοί εμπειρογνώμονες που είναι αποσπασμένοι στην ΕΥΕΔ σε θέση που απαιτεί πρόσβαση σε πληροφορίες με διαβάθμιση CONFIDENTIEL UE/EU CONFIDENTIAL ή ανώτερη επιδεικνύουν έγκυρη ΕΑΠ για πρόσβαση σε ΔΠΕΕ του αντίστοιχου επιπέδου στην Αρχή Ασφάλειας της ΕΥΕΔ προτού αναλάβουν τα καθήκοντά τους. Την παραπάνω διαδικασία διαχειρίζεται το κράτος μέλος αποστολής. |
Αρχεία ΕΑΠ
|
20. |
Η Διεύθυνση Ασφάλειας Έδρας και Ασφάλειας Πληροφοριών της ΕΥΕΔ διατηρεί βάση δεδομένων σχετικά με το καθεστώς εξουσιοδότησης ασφάλειας όλων των μελών του προσωπικού που τελεί υπό την ευθύνη της ΕΥΕΔ, καθώς και του προσωπικού των εργολάβων της ΕΥΕΔ. Τα αρχεία αυτά περιλαμβάνουν το επίπεδο των ΔΠΕΕ στο οποίο επιτρέπεται να χορηγηθεί πρόσβαση στο ενδιαφερόμενο πρόσωπο (CONFIDENTIEL UE/EU CONFIDENTIAL ή ανώτερο), την ημερομηνία χορήγησης της ΕΑΠ και τη διάρκεια ισχύος της. |
|
21. |
Εφαρμόζονται κατάλληλες διαδικασίες συντονισμού με τα κράτη μέλη και άλλα θεσμικά και λοιπά όργανα και οργανισμούς της ΕΕ προκειμένου να διασφαλίζεται ότι η ΕΥΕΔ διατηρεί ακριβή και ολοκληρωμένα αρχεία του καθεστώτος εξουσιοδότησης ασφάλειας όλων των μελών του προσωπικού που τελεί υπό την ευθύνη της και του προσωπικού των εργολάβων της. |
|
22. |
Η Αρχή Ασφάλειας της ΕΥΕΔ μπορεί να εκδίδει πιστοποιητικό εξουσιοδότησης ασφάλειας προσωπικού (ΠΕΑΠ), στο οποίο να αναφέρονται το επίπεδο των ΔΠΕΕ στις οποίες δικαιούται πρόσβαση το εν λόγω πρόσωπο (CONFIDENTIEL UE/EU CONFIDENTIAL ή ανώτερο), η ημερομηνία ισχύος της σχετικής ΕΑΠ ή της άδειας πρόσβασης και η ημερομηνία λήξης του ίδιου του πιστοποιητικού. |
Εξαιρέσεις από την απαίτηση ΕΑΠ
|
23. |
Τα πρόσωπα που έχουν λάβει δέουσα άδεια πρόσβασης σε ΔΠΕΕ λόγω των καθηκόντων τους σύμφωνα με εθνικές νομοθετικές και κανονιστικές διατάξεις ενημερώνονται, κατά περίπτωση, από τη Διεύθυνση Ασφάλειας Έδρας και Ασφάλειας Πληροφοριών της ΕΥΕΔ σχετικά με τις υποχρεώσεις ασφάλειας που υπέχουν όσον αφορά την προστασία των ΔΠΕΕ. |
III. ΕΚΠΑΙΔΕΥΣΗ ΚΑΙ ΕΥΑΙΣΘΗΤΟΠΟΙΗΣΗ ΣΕ ΘΕΜΑΤΑ ΑΣΦΑΛΕΙΑΣ
|
24. |
Προτού να τους δοθεί άδεια πρόσβασης σε ΔΠΕΕ, όλα τα πρόσωπα δηλώνουν εγγράφως ότι έχουν κατανοήσει τις υποχρεώσεις τους όσον αφορά την προστασία των ΔΠΕΕ και τις συνέπειες εάν διαρρεύσουν οι εν λόγω πληροφορίες. Η Διεύθυνση Ασφάλειας Έδρας και Ασφάλειας Πληροφοριών της ΕΥΕΔ τηρεί αρχείο αυτών των γραπτών δηλώσεων. |
|
25. |
Όλα τα πρόσωπα που έχουν λάβει άδεια πρόσβασης σε ΔΠΕΕ ή απαιτείται να χειρίζονται ΔΠΕΕ λαμβάνουν γνώση από την αρχή και ενημερώνονται κατά διαστήματα όσον αφορά τις απειλές για την ασφάλεια, ενώ οφείλουν να αναφέρουν αμέσως στο αρμόδιο τμήμα / στους συντονιστές ασφάλειας αντιπροσωπείας και στη Διεύθυνση Ασφάλειας Έδρας και Ασφάλειας Πληροφοριών της ΕΥΕΔ κάθε προσπάθεια προσέγγισής τους ή δραστηριότητα την οποία θεωρούν ύποπτη ή ασυνήθιστη. |
|
26. |
Όλα τα πρόσωπα στα οποία έχει χορηγηθεί πρόσβαση σε ΔΠΕΕ πρέπει να υπόκεινται σε διαρκή μέτρα ασφάλειας προσωπικού (δηλαδή, μετέπειτα μέριμνα) καθ’ όλη τη διάρκεια της περιόδου κατά την οποία χειρίζονται ΔΠΕΕ. Ευθύνη για τη διαρκή ασφάλεια του προσωπικού έχουν:
|
|
27. |
Όλα τα πρόσωπα που παύουν να απασχολούνται σε καθήκοντα τα οποία απαιτούν πρόσβαση σε ΔΠΕΕ ενημερώνονται για τις υποχρεώσεις τους όσον αφορά τη συνεχή προστασία των ΔΠΕΕ και, εφόσον κρίνεται σκόπιμο, δηλώνουν εγγράφως ότι τις αποδέχονται. |
IV. ΕΞΑΙΡΕΤΙΚΕΣ ΠΕΡΙΣΤΑΣΕΙΣ
|
28. |
Όταν συντρέχουν λόγοι επείγοντος, όταν δικαιολογείται δεόντως βάσει των συμφερόντων της ΕΥΕΔ και εν αναμονή της ολοκλήρωσης πλήρους έρευνας ασφάλειας, η Αρχή Ασφάλειας της ΕΥΕΔ δύναται, κατόπιν συνεννόησης με την ΕΑΑ του κράτους μέλους του οποίου είναι υπήκοος το ενδιαφερόμενο πρόσωπο και ανάλογα με το αποτέλεσμα των προκαταρκτικών ελέγχων προκειμένου να επιβεβαιωθεί ότι δεν είναι γνωστή κάποια αρνητική πληροφορία, να χορηγεί σε υπαλλήλους και λοιπό προσωπικό της ΕΥΕΔ προσωρινή άδεια πρόσβασης σε ΔΠΕΕ για την εκτέλεση συγκεκριμένου καθήκοντος. Η πλήρης έρευνα ασφάλειας θα πρέπει να ολοκληρώνεται το συντομότερο δυνατό. Αυτές οι προσωρινές άδειες ισχύουν για διάστημα που δεν υπερβαίνει τους έξι μήνες και δεν επιτρέπουν την πρόσβαση σε πληροφορίες με διαβάθμιση TRES SECRET UE/EU TOP SECRET. Όλα τα πρόσωπα στα οποία έχει χορηγηθεί προσωρινή άδεια δηλώνουν εγγράφως ότι έχουν κατανοήσει τις υποχρεώσεις τους όσον αφορά την προστασία των ΔΠΕΕ και τις συνέπειες σε περίπτωση διαρροής ΔΠΕΕ. Η Διεύθυνση Ασφάλειας Έδρας και Ασφάλειας Πληροφοριών της ΕΥΕΔ τηρεί αρχείο αυτών των γραπτών δηλώσεων. |
|
29. |
Όταν ένα πρόσωπο πρόκειται να τοποθετηθεί σε θέση η οποία απαιτεί ΕΑΠ επιπέδου κατά μία βαθμίδα ανώτερου από αυτή την οποία διαθέτει, τοποθετείται προσωρινά στην εν λόγω θέση υπό τους ακόλουθους όρους:
|
|
30. |
Η ανωτέρω διαδικασία χρησιμοποιείται για μία και μόνη πρόσβαση σε ΔΠΕΕ επιπέδου κατά μία βαθμίδα ανώτερου από αυτό για το οποίο το πρόσωπο έχει λάβει εξουσιοδότηση ασφάλειας. Η διαδικασία αυτή δεν χρησιμοποιείται κατ’ επανάληψη. |
|
31. |
Σε πολύ εξαιρετικές περιστάσεις, όπως αποστολές σε εχθρικό περιβάλλον ή σε περιόδους αυξανόμενης διεθνούς έντασης, εφόσον αυτό απαιτείται λόγω έκτακτων μέτρων, ιδίως προκειμένου να σωθούν ζωές, ο ύπατος εκπρόσωπος, η Αρχή Ασφάλειας της ΕΥΕΔ ή ο γενικός διευθυντής Ανθρωπίνων Πόρων μπορούν να επιτρέπουν, ει δυνατόν γραπτώς, την πρόσβαση σε πληροφορίες με διαβάθμιση CONFIDENTIEL UE/EU CONFIDENTIAL ή SECRET UE/EU SECRET προσώπων που δεν διαθέτουν την απαιτούμενη ΕΑΠ, υπό τον όρο ότι η άδεια αυτή είναι απολύτως αναγκαία. Η άδεια αυτή φυλάσσεται σε αρχείο, μαζί με περιγραφή των πληροφοριών για τις οποίες εγκρίθηκε η πρόσβαση, από τη Διεύθυνση Ασφάλειας Έδρας και Ασφάλειας Πληροφοριών της ΕΥΕΔ. |
|
32. |
Στην περίπτωση πληροφοριών με διαβάθμιση TRES SECRET UE/EU TOP SECRET, η εν λόγω έκτακτη πρόσβαση περιορίζεται στους υπηκόους ΕΕ στους οποίους έχει χορηγηθεί άδεια πρόσβασης είτε σε εθνικό επίπεδο ισοδύναμο του TRES SECRET UE/EU TOP SECRET είτε σε πληροφορίες με διαβάθμιση SECRET UE/EU SECRET. |
|
33. |
Η Επιτροπή Ασφάλειας της ΕΥΕΔ ενημερώνεται για τις περιπτώσεις στις οποίες χρησιμοποιείται η διαδικασία των παραγράφων 31 και 32. |
|
34. |
Η Επιτροπή Ασφάλειας της ΕΥΕΔ λαμβάνει ετήσια έκθεση σχετικά με τη χρησιμοποίηση των διαδικασιών που προβλέπονται στο παρόν τμήμα. |
V. ΣΥΜΜΕΤΟΧΗ ΣΕ ΣΥΝΕΔΡΙΑΣΕΙΣ ΣΤΗΝ ΕΔΡΑ ΤΗΣ ΕΥΕΔ ΚΑΙ ΣΕ ΑΝΤΙΠΡΟΣΩΠΕΙΕΣ ΤΗΣ ΕΝΩΣΗΣ.
|
35. |
Τα πρόσωπα στα οποία έχει ανατεθεί να συμμετέχουν σε συνεδριάσεις στην έδρα της ΕΥΕΔ και σε αντιπροσωπείες της Ένωσης κατά τις οποίες συζητούνται πληροφορίες με διαβάθμιση CONFIDENTIEL UE/EU CONFIDENTIAL ή ανώτερη μπορούν να το πράξουν μόνο έπειτα από επιβεβαίωση του καθεστώτος ΕΑΠ που τους έχει χορηγηθεί. Για τους εκπροσώπους των κρατών μελών και τους υπαλλήλους της Γενικής Γραμματείας του Συμβουλίου και της Επιτροπής, διαβιβάζεται ΠΕΑΠ ή άλλο αποδεικτικό ΕΑΠ από τις αρμόδιες αρχές στη Διεύθυνση Ασφάλειας Έδρας και Ασφάλειας Πληροφοριών της ΕΥΕΔ, στον συντονιστή ασφάλειας της αντιπροσωπείας της Ένωσης ή, σε εξαιρετικές περιπτώσεις, προσκομίζεται από το ίδιο το ενδιαφερόμενο πρόσωπο. Εφόσον συντρέχει περίπτωση, μπορεί να χρησιμοποιείται ενοποιημένος κατάλογος ονομάτων, όπου αναγράφεται το σχετικό αποδεικτικό ΕΑΠ. |
|
36. |
Όταν ανακαλείται η ΕΑΠ για πρόσβαση σε ΔΠΕΕ προσώπου του οποίου τα καθήκοντα απαιτούν συμμετοχή σε συνεδριάσεις στην έδρα της ΕΥΕΔ ή σε αντιπροσωπεία της Ένωσης κατά τις οποίες συζητούνται πληροφορίες με διαβάθμιση CONFIDENTIEL UE/EU CONFIDENTIAL ή ανώτερη, η Διεύθυνση Ασφάλειας Έδρας και Ασφάλειας Πληροφοριών της ΕΥΕΔ ενημερώνεται σχετικά από την αρμόδια αρχή. |
VI. ΔΥΝΗΤΙΚΗ ΠΡΟΣΒΑΣΗ ΣΕ ΔΠΕΕ
|
37. |
Όταν πρόσωπα πρόκειται να απασχοληθούν υπό περιστάσεις στις οποίες ενδέχεται να έχουν πρόσβαση σε πληροφορίες με διαβάθμιση CONFIDENTIEL UE/EU CONFIDENTIAL ή ανώτερη, λαμβάνουν την προσήκουσα εξουσιοδότηση ασφάλειας ή συνοδεύονται συνεχώς. |
|
38. |
Οι μεταφορείς, οι φύλακες και οι συνοδοί λαμβάνουν εξουσιοδότηση ασφάλειας του αντίστοιχου επιπέδου ή ελέγχονται αναλόγως σύμφωνα με τις εθνικές νομοθετικές και κανονιστικές διατάξεις, και ενημερώνονται σε τακτά χρονικά διαστήματα σχετικά με τις διαδικασίες ασφάλειας για την προστασία των ΔΠΕΕ, καθώς και σχετικά με την υποχρέωσή τους να προστατεύουν τις πληροφορίες που περιέρχονται στην κατοχή τους ή στις οποίες μπορεί να απέκτησαν ακουσίως πρόσβαση. |
ΠΑΡΑΡΤΗΜΑ A II
ΥΛΙΚΗ ΑΣΦΑΛΕΙΑ ΤΩΝ ΔΙΑΒΑΘΜΙΣΜΕΝΩΝ ΠΛΗΡΟΦΟΡΙΩΝ ΤΗΣ ΕΕ
I. ΕΙΣΑΓΩΓΗ
|
1. |
Το παρόν παράρτημα περιέχει διατάξεις για την εφαρμογή του άρθρου 6 του παραρτήματος Α. Ορίζει τις ελάχιστες απαιτήσεις για την υλική προστασία των εγκαταστάσεων, των κτιρίων, των γραφείων, των αιθουσών και άλλων χώρων όπου γίνεται χειρισμός και αποθήκευση ΔΠΕΕ, συμπεριλαμβανομένων των χώρων που στεγάζουν ΣΕΠ. |
|
2. |
Τα μέτρα υλικής ασφάλειας προορίζονται για να αποτρέπουν τη μη εξουσιοδοτημένη πρόσβαση σε ΔΠΕΕ με τους εξής τρόπους:
|
II ΑΠΑΙΤΗΣΕΙΣ ΚΑΙ ΜΕΤΡΑ ΥΛΙΚΗΣ ΑΣΦΑΛΕΙΑΣ
|
3. |
Η ΕΥΕΔ εφαρμόζει διαδικασία διαχείρισης κινδύνων για την προστασία των ΔΠΕΕ στις εγκαταστάσεις της προκειμένου να διασφαλίζει την παροχή επιπέδου υλικής προστασίας ανάλογου με τον εκτιμώμενο κίνδυνο. Κατά τη διαδικασία διαχείρισης κινδύνων συνεκτιμώνται όλοι οι σχετικοί παράγοντες και ειδικότερα:
|
|
4. |
Η Αρχή Ασφάλειας της ΕΥΕΔ, εφαρμόζοντας την έννοια της άμυνας εις βάθος, καθορίζει τον δέοντα εφαρμοστέο συνδυασμό μέτρων υλικής ασφάλειας. Στα μέτρα αυτά περιλαμβάνονται ένα ή περισσότερα από τα ακόλουθα:
|
|
5. |
Η Διεύθυνση Ασφάλειας Έδρας και Ασφάλειας Πληροφοριών της ΕΥΕΔ δύναται να διενεργεί έρευνες κατά την είσοδο και έξοδο με σκοπό την αποτροπή μη εξουσιοδοτημένης εισαγωγής υλικού ή μη εξουσιοδοτημένης αφαίρεσης ΔΠΕΕ από εγκαταστάσεις ή κτίρια. |
|
6. |
Όταν οι ΔΠΕΕ διατρέχουν κίνδυνο λαθροβλεψίας, έστω και τυχαίας, πρέπει να λαμβάνονται τα δέοντα μέτρα για την αποτροπή του κινδύνου. |
|
7. |
Για τις νέες εγκαταστάσεις, οι απαιτήσεις υλικής ασφάλειας και οι λειτουργικές προδιαγραφές τους καθορίζονται ως μέρος του γενικού και κατασκευαστικού σχεδιασμού των εγκαταστάσεων. Για τις ήδη υπάρχουσες εγκαταστάσεις, οι απαιτήσεις υλικής ασφάλειας εφαρμόζονται στο μεγαλύτερο δυνατό βαθμό. |
III. ΕΞΟΠΛΙΣΜΟΣ ΓΙΑ ΤΗΝ ΥΛΙΚΗ ΠΡΟΣΤΑΣΙΑ ΤΩΝ ΔΠΕΕ
|
8. |
Κατά την απόκτηση εξοπλισμού (όπως φωριαμών ασφαλείας, μηχανών καταστροφής εγγράφων, κλειδαριών θυρών, CCTV, ηλεκτρονικών συστημάτων ελέγχου πρόσβασης, ΣΑΕ, συστημάτων συναγερμού) για την υλική προστασία των ΔΠΕΕ, η Αρχή Ασφάλειας της ΕΥΕΔ μεριμνά ώστε ο εξοπλισμός να ανταποκρίνεται στα εγκεκριμένα τεχνικά πρότυπα και τις ελάχιστες απαιτήσεις. |
|
9. |
Οι τεχνικές προδιαγραφές του εξοπλισμού που χρησιμοποιείται για την υλική προστασία των ΔΠΕΕ ορίζονται σε κατευθυντήριες γραμμές ασφάλειας που εγκρίνονται από την Επιτροπή Ασφάλειας της ΕΥΕΔ. |
|
10. |
Τα συστήματα ασφάλειας επιθεωρούνται σε τακτά χρονικά διαστήματα και ο εξοπλισμός συντηρείται τακτικά. Στη συντήρηση θα πρέπει να λαμβάνεται υπόψη το αποτέλεσμα των επιθεωρήσεων ώστε να διασφαλίζεται ότι ο εξοπλισμός εξακολουθεί να λειτουργεί άριστα. |
|
11. |
Η αποτελεσματικότητα κάθε μέτρου ασφάλειας και ολόκληρου του συστήματος ασφάλειας πρέπει να επαναξιολογείται σε κάθε επιθεώρηση. |
IV. ΧΩΡΟΙ ΠΟΥ ΤΥΓΧΑΝΟΥΝ ΥΛΙΚΗΣ ΠΡΟΣΤΑΣΙΑΣ
|
12. |
Για την υλική προστασία των ΔΠΕΕ καθορίζονται δύο τύποι χώρων που τυγχάνουν υλικής προστασίας, ή εθνικοί ισοδύναμοι προς αυτούς χώροι:
|
|
13. |
Η Αρχή Ασφάλειας της ΕΥΕΔ κρίνει αν ένας χώρος καλύπτει τις απαιτήσεις ώστε να χαρακτηριστεί διοικητικός χώρος, χώρος ασφαλείας ή χώρος τεχνικής ασφαλείας. |
|
14. |
Για τους διοικητικούς χώρους:
|
|
15. |
Για τους χώρους ασφαλείας:
|
|
16. |
Όταν η είσοδος σε χώρο ασφαλείας συνιστά, στην πράξη, άμεση πρόσβαση στις διαβαθμισμένες πληροφορίες που φυλάσσονται στον χώρο αυτό, ισχύουν οι ακόλουθες συμπληρωματικές απαιτήσεις:
|
|
17. |
Οι χώροι ασφαλείας που προστατεύονται από τη λαθρακρόαση χαρακτηρίζονται ως χώροι τεχνικής ασφαλείας. Ισχύουν οι ακόλουθες συμπληρωματικές απαιτήσεις:
|
|
18. |
Παρά τα οριζόμενα στην παράγραφο 17 στοιχείο δ), προτού χρησιμοποιηθούν σε χώρους όπου διεξάγονται συνεδριάσεις ή εργασίες που αφορούν πληροφορίες με διαβάθμιση SECRET UE/EU SECRET και ανώτερη και σε περιστάσεις όπου η απειλή για τις ΔΠΕΕ θεωρείται σοβαρή, οι τηλεπικοινωνιακές συσκευές και ο ηλεκτρικός ή ηλεκτρονικός εξοπλισμός παντός είδους εξετάζονται καταρχάς από την Ομάδα Αντίμετρων Τεχνικής Ασφάλειας της Διεύθυνσης Ασφάλειας Έδρας και Ασφάλειας Πληροφοριών της ΕΥΕΔ για να εξασφαλισθεί ότι δεν είναι δυνατή η μετάδοση καταληπτών πληροφοριών μέσω του εξοπλισμού αυτού, είτε ακούσια είτε παράνομα, πέραν της περιμέτρου του χώρου ασφαλείας. |
|
19. |
Οι χώροι ασφαλείας στους οποίους δεν υπάρχει προσωπικό υπηρεσίας επί 24ώρου βάσεως επιθεωρούνται, εφόσον είναι σκόπιμο, κατά τη λήξη του κανονικού ωραρίου εργασίας και σε τυχαία διαστήματα εκτός του κανονικού ωραρίου εργασίας, εκτός εάν είναι εξοπλισμένοι με ΣΑΕ. |
|
20. |
Χώροι ασφαλείας και χώροι τεχνικής ασφαλείας μπορούν να δημιουργούνται προσωρινά εντός διοικητικού χώρου για τη διεξαγωγή διαβαθμισμένης συνεδρίασης ή κάθε άλλο παρόμοιο σκοπό. |
|
21. |
Για κάθε χώρο ασφαλείας εκπονούνται λειτουργικές διαδικασίες ασφάλειας (ΛΔΑ) στις οποίες αναφέρονται:
|
|
22. |
Εντός των χώρων ασφαλείας κατασκευάζονται, όπου κρίνεται αναγκαίο, θωρακισμένες αίθουσες. Οι τοίχοι, τα πατώματα, οι οροφές, τα παράθυρα και οι θύρες που κλειδώνουν εγκρίνονται από την Αρχή Ασφάλειας της ΕΥΕΔ και παρέχουν προστασία ισοδύναμη με φωριαμό ασφάλειας που έχει εγκριθεί για την αποθήκευση ΔΠΕΕ του ίδιου επιπέδου διαβάθμισης. |
V. ΜΕΤΡΑ ΥΛΙΚΗΣ ΠΡΟΣΤΑΣΙΑΣ ΓΙΑ ΤΟ ΧΕΙΡΙΣΜΟ ΚΑΙ ΤΗΝ ΑΠΟΘΗΚΕΥΣΗ ΔΠΕΕ
|
23. |
Ο χειρισμός ΔΠΕΕ με διαβάθμιση RESTREINT UE/EU RESTRICTED διεξάγεται:
|
|
24. |
Οι ΔΠΕΕ με διαβάθμιση RESTREINT UE/EU RESTRICTED αποθηκεύονται σε κατάλληλα έπιπλα γραφείου με κλειδαριά σε διοικητικό χώρο ή χώρο ασφαλείας. Μπορεί να αποθηκευθούν προσωρινά εκτός χώρου ασφάλειας ή διοικητικού χώρου, εφόσον ο κάτοχος έχει αναλάβει τη δέσμευση να συμμορφώνεται με τα αντισταθμιστικά μέτρα που καθορίζονται στις οδηγίες ασφάλειας που εκδίδει η Αρχή Ασφάλειας της ΕΥΕΔ. |
|
25. |
Ο χειρισμός ΔΠΕΕ με διαβάθμιση CONFIDENTIEL UE/EU CONFIDENTIAL ή SECRET UE/EU SECRET διεξάγεται:
|
|
26. |
Οι ΔΠΕΕ με διαβάθμιση CONFIDENTIEL UE/EU CONFIDENTIAL ή SECRET UE/EU SECRET αποθηκεύονται εντός χώρου ασφάλειας, σε φωριαμό ασφαλείας ή σε θωρακισμένη αίθουσα. |
|
27. |
Ο χειρισμός ΔΠΕΕ με διαβάθμιση TRES SECRET UE/EU TOP SECRET διεξάγεται σε χώρο ασφαλείας. |
|
28. |
Οι ΔΠΕΕ με διαβάθμιση TRES SECRET UE/EU TOP SECRET αποθηκεύονται σε χώρο ασφαλείας στην έδρα εφόσον ικανοποιείται μία από τις παρακάτω προϋποθέσεις:
|
|
29. |
Στο παράρτημα III παρατίθενται οι κανόνες που διέπουν τη μεταφορά ΔΠΕΕ εκτός των χώρων που τυγχάνουν υλικής προστασίας. |
VI. ΕΛΕΓΧΟΣ ΚΛΕΙΔΙΩΝ ΚΑΙ ΣΥΝΔΥΑΣΜΩΝ ΠΟΥ ΧΡΗΣΙΜΟΠΟΙΟΥΝΤΑΙ ΓΙΑ ΤΗΝ ΠΡΟΣΤΑΣΙΑ ΔΠΕΕ
|
30. |
Η Αρχή Ασφάλειας της ΕΥΕΔ καθορίζει τις διαδικασίες για τη διαχείριση των κλειδιών και των συνδυασμών για τα γραφεία, τις αίθουσες, τις θωρακισμένες αίθουσες και τους φωριαμούς ασφαλείας εντός όλων των εγκαταστάσεων της ΕΥΕΔ. Οι διαδικασίες αυτές προστατεύουν από το ενδεχόμενο μη εξουσιοδοτημένης πρόσβασης. |
|
31. |
Οι συνδυασμοί απομνημονεύονται από τον μικρότερο δυνατό αριθμό ατόμων που πρέπει να τους γνωρίζουν. Οι συνδυασμοί των φωριαμών ασφαλείας και των θωρακισμένων αιθουσών όπου αποθηκεύονται οι ΔΠΕΕ αλλάζουν:
|
ΠΑΡΑΡΤΗΜΑ A III
ΔΙΑΧΕΙΡΙΣΗ ΤΩΝ ΔΙΑΒΑΘΜΙΣΜΕΝΩΝ ΠΛΗΡΟΦΟΡΙΩΝ
I. ΕΙΣΑΓΩΓΗ
|
1. |
Το παρόν παράρτημα περιέχει διατάξεις για την εφαρμογή του άρθρου 7 του παραρτήματος Α. Ορίζει τα διοικητικά μέτρα για τον έλεγχο των ΔΠΕΕ καθ’ όλη τη διάρκεια του κύκλου ζωής τους προκειμένου να ενισχυθούν η αποτροπή και η ανίχνευση περιπτώσεων σκόπιμης ή τυχαίας διαρροής ή απώλειας των εν λόγω πληροφοριών, καθώς και η αποκατάσταση έπειτα από τέτοια περιστατικά. |
II. ΔΙΑΧΕΙΡΙΣΗ ΤΩΝ ΔΙΑΒΑΘΜΙΣΕΩΝ
Διαβαθμίσεις και σημάνσεις
|
2. |
Οι πληροφορίες λαμβάνουν διαβάθμιση όταν απαιτείται προστασία του απόρρητου χαρακτήρα τους. |
|
3. |
Ο φορέας προέλευσης των ΔΠΕΕ είναι υπεύθυνος για τον καθορισμό του επιπέδου διαβάθμισης ασφάλειας, για την εφαρμογή της κατάλληλης σήμανσης διαβάθμισης ασφάλειας, για τον καθορισμό της διάδοσης των πληροφοριών στους προβλεπόμενους παραλήπτες, για την εφαρμογή των κατάλληλων σημάνσεων δυνατότητας κοινοποίησης, σύμφωνα με τις σχετικές κατευθυντήριες γραμμές της ΕΥΕΔ για τη δημιουργία και τον χειρισμό ΔΠΕΕ. |
|
4. |
Το επίπεδο διαβάθμισης των ΔΠΕΕ ορίζεται σύμφωνα με το άρθρο 2 παράγραφος 2 του παραρτήματος Α και με αναφορά στις κατευθυντήριες οδηγίες ασφάλειας που [...] έχουν εγκριθεί σύμφωνα με το άρθρο 3 παράγραφος 3 του παραρτήματος Α. |
|
5. |
Στις διαβαθμισμένες πληροφορίες των κρατών μελών που ανταλλάσσονται με την ΕΥΕΔ παρέχεται το ίδιο επίπεδο προστασίας με αυτό των ΔΠΕΕ που φέρουν την ισοδύναμη διαβάθμιση. Στο προσάρτημα Β της παρούσας απόφασης περιέχεται πίνακας ισοδυναμίας. |
|
6. |
Η διαβάθμιση ασφάλειας και, κατά περίπτωση, η ημερομηνία ή το συγκεκριμένο γεγονός μετά το οποίο οι πληροφορίες μπορούν να υποχαρακτηριστούν ή να αποχαρακτηριστούν επισημαίνονται με σαφήνεια και ορθότητα, ανεξάρτητα από το εάν οι ΔΠΕΕ παρέχονται σε έντυπη, προφορική, ηλεκτρονική ή άλλη μορφή. |
|
7. |
Επί μέρους τμήματα δεδομένου εγγράφου (ήτοι σελίδες, παράγραφοι, τμήματα, παραρτήματα και προσαρτήματα καθώς και τυχόν συνημμένα έγγραφα) ενδέχεται να απαιτούν διαφορετικές διαβαθμίσεις και σημαίνονται αναλόγως, μεταξύ άλλων όταν αποθηκεύονται σε ηλεκτρονική μορφή. |
|
8. |
Στο μέτρο του δυνατού, τα έγγραφα που περιέχουν μέρη με διαφορετικά επίπεδα διαβάθμισης διαρθρώνονται κατά τρόπον ώστε τα μέρη με διαφορετικό επίπεδο διαβάθμισης να προσδιορίζονται και να αποχωρίζονται εύκολα, εφόσον είναι απαραίτητο. |
|
9. |
Το γενικό επίπεδο διαβάθμισης ενός εγγράφου ή ενός φακέλου είναι τουλάχιστον τόσο υψηλό όσο το επίπεδο του στοιχείου του με την ανώτερη διαβάθμιση. Όταν συγκεντρώνει πληροφορίες από διάφορες πηγές, το τελικό προϊόν επανεξετάζεται προκειμένου να καθορισθεί το γενικό του επίπεδο διαβάθμισης ασφάλειας, δεδομένου ότι μπορεί να απαιτεί διαβάθμιση ανώτερη από αυτή των συστατικών του μερών. |
|
10. |
Η διαβάθμιση επιστολής ή σημειώματος που περιλαμβάνει συνημμένα έγγραφα καθορίζεται στο επίπεδο του συνημμένου εγγράφου με την ανώτερη διαβάθμιση. Ο φορέας προέλευσης επισημαίνει σαφώς σε ποιο επίπεδο διαβαθμίζεται όταν αποχωρισθεί από τα συνημμένα έγγραφα μέσω κατάλληλη σήμανσης, π.χ.: |
CONFIDENTIEL UE/EU CONFIDENTIAL Χωρίς συνημμένο (-α) RESTREINT UE/EU RESTRICTED
Σημάνσεις
|
11. |
Εκτός των σημάνσεων διαβάθμισης ασφάλειας που προβλέπονται στο άρθρο 2 παράγραφος 2 του παραρτήματος Α, οι ΔΠΕΕ είναι δυνατόν να φέρουν πρόσθετες σημάνσεις, όπως:
|
|
12. |
Μετά την απόφαση κοινοποίησης ΔΠΕΕ σε τρίτο κράτος ή διεθνή οργανισμό, η Διεύθυνση Ασφάλειας Έδρας και Ασφάλειας Πληροφοριών της ΕΥΕΔ διαβιβάζει τις εν λόγω διαβαθμισμένες πληροφορίες, που φέρουν σήμανση δυνατότητας κοινοποίησης στην οποία αναφέρεται το τρίτο κράτος ή ο διεθνής οργανισμός στον οποίον πρόκειται να κοινοποιηθούν. |
|
13. |
Η Αρχή Ασφάλειας της ΕΥΕΔ εγκρίνει κατάλογο εγκεκριμένων σημάνσεων. |
Συντετμημένες σημάνσεις διαβάθμισης
|
14. |
Οι τυποποιημένες συντετμημένες σημάνσεις διαβάθμισης μπορούν να χρησιμοποιούνται ως ενδείξεις του επιπέδου διαβάθμισης των επιμέρους παραγράφων ενός κειμένου. Οι συντομογραφίες δεν αντικαθιστούν τις πλήρεις σημάνσεις διαβάθμισης. |
|
15. |
Οι ακόλουθες τυποποιημένες συντομογραφίες μπορούν να χρησιμοποιούνται στα διαβαθμισμένα έγγραφα της ΕΕ ως ενδείξεις του επιπέδου διαβάθμισης τμημάτων ή ενοτήτων του κειμένου που δεν υπερβαίνουν μία σελίδα:
|
Δημιουργία ΔΠΕΕ
|
16. |
Κατά τη σύνταξη διαβαθμισμένου εγγράφου ΕΕ:
|
|
17. |
Εάν δεν είναι δυνατή η εφαρμογή της παραγράφου 16 στις ΔΠΕΕ, λαμβάνονται άλλα κατάλληλα μέτρα σύμφωνα με τις κατευθυντήριες γραμμές ασφάλειας που [...] έχουν καταρτιστεί βάσει της παρούσας απόφασης. |
Υποχαρακτηρισμός και αποχαρακτηρισμός των ΔΠΕΕ
|
18. |
Κατά τη δημιουργία τους, ο φορέας προέλευσης δηλώνει, όπου είναι δυνατόν και ιδίως για πληροφορίες με διαβάθμιση RESTREINT UE/EU RESTRICTED, αν οι ΔΠΕΕ μπορούν να υποχαρακτηριστούν ή να αποχαρακτηρισθούν σε ορισμένη ημερομηνία ή κατόπιν συγκεκριμένου γεγονότος. |
|
19. |
Η ΕΥΕΔ επανεξετάζει τακτικά τις ΔΠΕΕ που βρίσκονται στην κατοχή της προκειμένου να εξακριβώνει αν ισχύει ακόμα το επίπεδο διαβάθμισης. Η ΕΥΕΔ θεσπίζει σύστημα επανεξέτασης, τουλάχιστον ανά πενταετία, του επιπέδου διαβάθμισης των καταχωρισμένων ΔΠΕΕ που έχει δημιουργήσει. Η επανεξέταση αυτή δεν είναι απαραίτητη όταν ο φορέας προέλευσης έχει δηλώσει εξαρχής ένα συγκεκριμένο χρονικό σημείο κατά το οποίο οι πληροφορίες θα υποχαρακτηριστούν ή θα αποχαρακτηριστούν αυτόματα και όταν οι πληροφορίες φέρουν ανάλογη σήμανση. |
III. ΙΙΙ. ΚΑΤΑΧΩΡΙΣΗ ΔΠΕΕ ΓΙΑ ΛΟΓΟΥΣ ΑΣΦΑΛΕΙΑΣ
|
20. |
Δημιουργείται κεντρική γραμματεία στην έδρα. Για κάθε οργανωτική μονάδα εντός της ΕΥΕΔ στην οποία γίνεται χειρισμός ΔΠΕΕ, ορίζεται αρμόδια γραμματεία η οποία υπάγεται στην κεντρική γραμματεία και μεριμνά ώστε ο χειρισμός των ΔΠΕΕ να είναι σύμφωνος με την παρούσα απόφαση. Οι γραμματείες διαμορφώνονται ως χώροι ασφάλειας όπως ορίζεται στο παράρτημα Α.
Κάθε αντιπροσωπεία της Ένωσης συστήνει τη δική της γραμματεία ΔΠΕΕ. Η Αρχή Ασφάλειας της ΕΥΕΔ ορίζει προϊστάμενο γραμματείας για τις γραμματείες αυτές. |
|
21. |
Για τους σκοπούς της παρούσας απόφασης, ως καταχώριση για λόγους ασφάλειας (στο εξής: καταχώριση) νοείται η εφαρμογή διαδικασιών που επιτρέπουν την καταγραφή του κύκλου ζωής των πληροφοριών, περιλαμβανομένης της διάδοσης και της καταστροφής τους. Στην περίπτωση ΣΕΠ, οι διαδικασίες καταχώρισης μπορούν να διεκπεραιώνονται με διεργασίες εντός του ίδιου του ΣΕΠ. |
|
22. |
Κάθε υλικό με διαβάθμιση CONFIDENTIEL UE/EU CONFIDENTIAL και ανώτερη καταχωρίζεται κατά την άφιξή του σε μια οργανωτική μονάδα, συμπεριλαμβανομένων των αντιπροσωπειών της Ένωσης, ή την έξοδό του από αυτή. Οι πληροφορίες με διαβάθμιση TRES SECRET UE/EU TOP SECRET καταχωρίζονται σε καθορισμένες γραμματείες. |
|
23. |
Η κεντρική γραμματεία στην έδρα της ΕΥΕΔ αποτελεί το κύριο σημείο εισόδου και εξόδου για τις ανταλλαγές διαβαθμισμένων πληροφοριών με τρίτα κράτη και διεθνείς οργανισμούς. Τηρεί αρχείο όλων αυτών των ανταλλαγών. |
|
24. |
Η Αρχή Ασφάλειας της ΕΥΕΔ εγκρίνει κατευθυντήριες γραμμές ασφάλειας σχετικά με την καταχώριση των ΔΠΕΕ για λόγους ασφάλειας, σύμφωνα με το άρθρο 14 της παρούσας απόφασης. |
Γραμματείες TRES SECRET UE/EU TOP SECRET
|
25. |
Η κεντρική γραμματεία ορίζεται στην έδρα της ΕΥΕΔ με σκοπό να ενεργεί ως κεντρική αρχή παραλαβής και αποστολής πληροφοριών με διαβάθμιση TRES SECRET UE/EU TOP SECRET. Οσάκις απαιτείται, μπορούν να ορίζονται υπογραμματείες για τον χειρισμό των πληροφοριών αυτών για λόγους καταχώρισης. |
|
26. |
Οι υπογραμματείες αυτές δεν επιτρέπεται να διαβιβάζουν έγγραφα με διαβάθμιση TRES SECRET UE/EU TOP SECRET απευθείας σε άλλες υπογραμματείες της αυτής κεντρικής γραμματείας TRES SECRET UE/EU TOP SECRET ή σε εξωτερικούς φορείς χωρίς τη ρητή γραπτή έγκριση της τελευταίας. |
IV. ΑΝΤΙΓΡΑΦΗ ΚΑΙ ΜΕΤΑΦΡΑΣΗ ΔΙΑΒΑΘΜΙΣΜΕΝΩΝ ΕΓΓΡΑΦΩΝ ΤΗΣ ΕΕ
|
27. |
Τα έγγραφα με διαβάθμιση TRES SECRET UE/EU TOP SECRET μπορούν να αντιγραφούν ή να μεταφρασθούν μόνο με την προηγούμενη γραπτή συγκατάθεση του φορέα προέλευσης. |
|
28. |
Όταν ο φορέας προέλευσης εγγράφων με διαβάθμιση SECRET UE/EU SECRET και κατώτερη δεν έχει επιβάλει όρους ως προς την αντιγραφή ή τη μετάφρασή τους, τα έγγραφα αυτά μπορούν να αντιγράφονται ή να μεταφράζονται κατόπιν εντολής του κατόχου τους. |
|
29. |
Τα μέτρα ασφάλειας που εφαρμόζονται για το πρωτότυπο έγγραφο εφαρμόζονται και στα αντίγραφα και μεταφράσεις του. Τα αντίγραφα εγγράφων με διαβάθμιση CONFIDENTIEL UE/EU CONFIDENTIAL ή ανώτερη δημιουργούνται μόνο από την αρμόδια (υπο)γραμματεία με φωτοαντιγραφικό ασφάλειας. Τα αντίγραφα πρέπει να καταχωρίζονται. |
V. ΜΕΤΑΦΟΡΑ ΤΩΝ ΔΠΕΕ
|
30. |
Η μεταφορά των ΔΠΕΕ υπόκειται στα προστατευτικά μέτρα που ορίζονται στις παραγράφους 32 έως 42. Όταν οι ΔΠΕΕ διαβιβάζονται ηλεκτρονικά και, κατά παρέκκλιση από το άρθρο 7 παράγραφος 4 του παραρτήματος Α, τα μέτρα προστασίας που παρατίθενται παρακάτω μπορούν να συμπληρώνονται με κατάλληλα τεχνικά αντίμετρα που ορίζονται από την Αρχή Ασφάλειας της ΕΥΕΔ προκειμένου να ελαχιστοποιείται ο κίνδυνος απώλειας ή διαρροής. |
|
31. |
Η Αρχή Ασφάλειας της ΕΥΕΔ εκδίδει οδηγίες όσον αφορά τη μεταφορά ΔΠΕΕ σύμφωνα με την παρούσα απόφαση. |
Εντός κτιρίου ή αυτοτελούς συνόλου κτιρίων
|
32. |
Οι ΔΠΕΕ που μεταφέρονται εντός κτιρίου ή αυτοτελούς συνόλου κτιρίων πρέπει να είναι καλυμμένες για να μην είναι δυνατή η παρατήρηση του περιεχομένου τους. |
|
33. |
Εντός κτιρίου ή αυτοτελούς συνόλου κτιρίων, οι πληροφορίες με διαβάθμιση TRES SECRET UE/EU TOP SECRET μεταφέρονται από πρόσωπα με την προσήκουσα εξουσιοδότηση ασφάλειας σε σφραγισμένο φάκελο όπου αναφέρεται μόνο το όνομα του παραλήπτη. |
Εντός της ΕΕ
|
34. |
Οι ΔΠΕΕ που μεταφέρονται μεταξύ κτιρίων ή εγκαταστάσεων εντός της ΕΕ τοποθετούνται σε συσκευασία η οποία τις προστατεύει από άνευ αδείας κοινολόγηση. |
|
35. |
Η μεταφορά πληροφοριών με διαβάθμιση έως το επίπεδο SECRET UE/EU SECRET εντός της ΕΕ διεξάγεται ως εξής:
Στην περίπτωση μεταφοράς από ένα κράτος μέλος σε άλλο, οι διατάξεις του στοιχείου γ) περιορίζονται στις πληροφορίες με διαβάθμιση έως CONFIDENTIEL UE/EU CONFIDENTIAL. |
|
36. |
Το υλικό με διαβαθμίσεις CONFIDENTIEL UE/EU CONFIDENTIAL και SECRET UE/EU SECRET (π.χ. εξοπλισμός ή μηχανήματα) που δεν μπορεί να μεταφερθεί με τους τρόπους που αναφέρονται στην παράγραφο 34 μεταφέρεται ως φορτίο από εμπορικές επιχειρήσεις μεταφορών σύμφωνα με το παράρτημα Α V. |
|
37. |
Η μεταφορά πληροφοριών με διαβάθμιση TRES SECRET UE/EU TOP SECRET μεταξύ κτιρίων ή εγκαταστάσεων εντός της ΕΕ διεξάγεται με στρατιωτικό, κρατικό ή διπλωματικό μεταφορέα, αναλόγως με την περίπτωση. |
Από την ΕΕ προς την επικράτεια τρίτου κράτους, ή μεταξύ φορέων της ΕΕ σε τρίτα κράτη
|
38. |
Οι ΔΠΕΕ που μεταφέρονται από την ΕΕ προς την επικράτεια τρίτου κράτους ή μεταξύ φορέων της ΕΕ σε τρίτα κράτη τοποθετούνται σε συσκευασία η οποία τις προστατεύει από άνευ αδείας κοινολόγηση. |
|
39. |
Η μεταφορά πληροφοριών με διαβαθμίσεις CONFIDENTIEL UE/EU CONFIDENTIAL και SECRET UE/EU SECRET από την ΕΕ προς την επικράτεια τρίτου κράτους και η μεταφορά πληροφοριών ΔΠΕΕ με διαβάθμιση έως το επίπεδο SECRET UE/EU SECRET μεταξύ φορέων της ΕΕ σε τρίτα κράτη διεξάγεται ως εξής:
|
|
40. |
Η μεταφορά πληροφοριών με διαβαθμίσεις CONFIDENTIEL UE/EU CONFIDENTIAL και SECRET UE/EU SECRET που κοινοποιούνται από την ΕΕ σε τρίτο κράτος ή διεθνή οργανισμό διεξάγεται κατά τις σχετικές διατάξεις συμφωνίας ασφάλειας πληροφοριών ή διοικητικού διακανονισμού σύμφωνα με το άρθρο 10 παράγραφος 2 του παραρτήματος Α. |
|
41. |
Πληροφορίες με διαβάθμιση RESTREINT UE/EU RESTRICTED μπορούν επίσης να μεταφέρονται από την ΕΕ προς την επικράτεια τρίτου κράτους με ταχυδρομικές υπηρεσίες ή με εμπορικές υπηρεσίες μεταφοράς. |
|
42. |
Η μεταφορά πληροφοριών με διαβάθμιση TRES SECRET UE/EU TOP SECRET από την ΕΕ προς την επικράτεια τρίτου κράτους ή μεταξύ φορέων της ΕΕ σε τρίτα κράτη διεξάγεται με στρατιωτικό ή διπλωματικό μεταφορέα. |
VI. ΚΑΤΑΣΤΡΟΦΗ ΔΠΕΕ
|
43. |
Τα διαβαθμισμένα έγγραφα ΕΕ που δεν χρειάζονται πλέον μπορούν να καταστρέφονται, με την επιφύλαξη των οικείων κανόνων και κανονισμών περί αρχειοθέτησης. |
|
44. |
Τα έγγραφα τα οποία καταχωρίζονται σύμφωνα με το άρθρο 7 παράγραφος 2 του παραρτήματος Α καταστρέφονται από την αρμόδια γραμματεία με εντολή του κατόχου ή αρμόδιας αρχής. Τα ημερολόγια και οι λοιπές πληροφορίες καταχώρισης ενημερώνονται αναλόγως. |
|
45. |
Για τα έγγραφα με διαβαθμίσεις SECRET UE/EU SECRET ή TRES SECRET UE/EU TOP SECRET, η καταστροφή πραγματοποιείται παρουσία μάρτυρα ο οποίος έχει εξουσιοδότηση τουλάχιστον έως το επίπεδο διαβάθμισης του προς καταστροφή εγγράφου. |
|
46. |
Ο γραμματέας και, οσάκις απαιτείται η παρουσία του, ο μάρτυρας υπογράφουν πιστοποιητικό καταστροφής, το οποίο καταχωρίζεται στη γραμματεία. Η γραμματεία τηρεί τα πιστοποιητικά καταστροφής των εγγράφων TRES SECRET UE/EU TOP SECRET για μία δεκαετία τουλάχιστον και των εγγράφων CONFIDENTIEL UE/EU CONFIDENTIAL και SECRET UE/EU SECRET για μία πενταετία τουλάχιστον. |
|
47. |
Τα διαβαθμισμένα έγγραφα, περιλαμβανομένων και εκείνων με διαβάθμιση RESTREINT UE/EU RESTRICTED, καταστρέφονται με μεθόδους που ανταποκρίνονται στα σχετικά ενωσιακά ή ισοδύναμα πρότυπα ή που έχουν εγκριθεί από κράτη μέλη σύμφωνα με εθνικά τεχνικά πρότυπα, προκειμένου να αποφεύγεται η πλήρης ή η εν μέρει επανασύστασή τους. |
|
48. |
Τα ηλεκτρονικά μέσα αποθήκευσης που χρησιμοποιούνται για τις ΔΠΕΕ καταστρέφονται σύμφωνα με τις διαδικασίες που έχουν εγκριθεί από την Αρχή Ασφάλειας της ΕΥΕΔ. |
VII. ΕΠΙΘΕΩΡΗΣΕΙΣ ΑΣΦΑΛΕΙΑΣ
Επιθεωρήσεις ασφάλειας της ΕΥΕΔ
|
49. |
Σύμφωνα με το άρθρο 16 της παρούσας απόφασης, οι επιθεωρήσεις ασφάλειας της ΕΥΕΔ περιλαμβάνουν:
|
Διενέργεια των επιθεωρήσεων ασφάλειας της ΕΥΕΔ και υποβολή των σχετικών εκθέσεων
|
50. |
Οι επιθεωρήσεις ασφάλειας της ΕΥΕΔ διενεργούνται από ομάδα επιθεώρησης της Διεύθυνσης Ασφάλειας Έδρας και Ασφάλειας Πληροφοριών της ΕΥΕΔ και, όταν κρίνεται σκόπιμο, με τη στήριξη εμπειρογνωμόνων ασφάλειας από άλλα θεσμικά όργανα ή κράτη μέλη της ΕΕ.
Η ομάδα επιθεώρησης έχει πρόσβαση σε κάθε τοποθεσία όπου διενεργείται χειρισμός ΔΠΕΕ, ειδικότερα δε στις γραμματείες και στα σημεία παρουσίας ΣΕΠ. |
|
51. |
Οι επιθεωρήσεις ασφάλειας της ΕΥΕΔ σε αντιπροσωπείες της Ένωσης διεξάγονται σε συντονισμό με τη Διεύθυνση Κέντρου Αντιμετώπισης Κρίσεων και, όποτε κρίνεται σκόπιμο, με τη στήριξη των υπεύθυνων ασφάλειας των πρεσβειών των κρατών μελών σε τρίτες χώρες. |
|
52. |
Πριν από το τέλος κάθε ημερολογιακού έτους, η Αρχή Ασφάλειας της ΕΥΕΔ εγκρίνει πρόγραμμα επιθεωρήσεων ασφάλειας για την ΕΥΕΔ για το επόμενο έτος. |
|
53. |
Όποτε κρίνεται σκόπιμο, η Αρχή Ασφάλειας της ΕΥΕΔ μπορεί να διοργανώνει επιθεωρήσεις ασφάλειας που δεν προβλέπονται στο παραπάνω πρόγραμμα. |
|
54. |
Στο τέλος της επιθεώρησης ασφάλειας, παρουσιάζονται στον επιθεωρούμενο φορέα τα κύρια συμπεράσματα και συστάσεις. Εν συνεχεία, η ομάδα επιθεώρησης συντάσσει έκθεση για την επιθεώρηση. Σε περίπτωση που προτείνονται διορθωτικές δράσεις και συστάσεις, περιλαμβάνονται επαρκείς πληροφορίες στην έκθεση προς επίρρωση των συμπερασμάτων που εξήχθησαν. Η έκθεση διαβιβάζεται στην Αρχή Ασφάλειας της ΕΥΕΔ, στον Διευθυντή του Κέντρου Αντιμετώπισης Κρίσεων όσον αφορά τις επιθεωρήσεις ασφάλειας σε αντιπροσωπείες της Ένωσης και στον επικεφαλής του επιθεωρούμενου φορέα.
Ανά τακτά διαστήματα συντάσσεται έκθεση υπό την ευθύνη της Διεύθυνσης Ασφάλειας Έδρας και Ασφάλειας Πληροφοριών της ΕΥΕΔ στην οποία επισημαίνονται τα διδάγματα που αντλήθηκαν από τις επιθεωρήσεις που διενεργήθηκαν εντός συγκεκριμένης περιόδου και η οποία εξετάζεται από την Επιτροπή Ασφάλειας της ΕΥΕΔ. |
Διενέργεια επιθεωρήσεων ασφάλειας στους οργανισμούς και τα όργανα της ΕΕ που έχουν ιδρυθεί δυνάμει του τίτλου V κεφάλαιο 2 της ΣΕΕ και υποβολή των σχετικών εκθέσεων
|
55. |
Η Διεύθυνση Ασφάλειας Έδρας και Ασφάλειας Πληροφοριών της ΕΥΕΔ μπορεί, εφόσον κρίνεται σκόπιμο, να ορίζει συνεργαζόμενους εμπειρογνώμονες για να συμμετέχουν σε κοινές ομάδες επιθεώρησης της ΕΕ που διεξάγουν επιθεωρήσεις σε οργανισμούς και όργανα της ΕΕ που έχουν ιδρυθεί δυνάμει του τίτλου V κεφάλαιο 2 της ΣΕΕ. |
Κατάλογος ελέγχου των επιθεωρήσεων ασφάλειας της ΕΥΕΔ
|
56. |
Η Διεύθυνση Ασφάλειας Έδρας και Ασφάλειας Πληροφοριών της ΕΥΕΔ καταρτίζει και επικαιροποιεί κατάλογο ελέγχου επιθεωρήσεων ασφάλειας, με σημεία που πρέπει να ελέγχονται κατά τη διάρκεια μιας επιθεώρησης ασφάλειας της ΕΥΕΔ. Ο εν λόγω κατάλογος ελέγχου διαβιβάζεται στην Επιτροπή Ασφάλειας της ΕΥΕΔ. |
|
57. |
Οι πληροφορίες για τη συμπλήρωση του καταλόγου ελέγχου λαμβάνονται κυρίως κατά τη διάρκεια της επιθεώρησης από το προσωπικό διαχείρισης ασφάλειας του επιθεωρούμενου φορέα. Μόλις συμπληρωθεί με λεπτομερείς απαντήσεις, ο κατάλογος ελέγχου διαβαθμίζεται μέσω συμφωνίας με τον επιθεωρούμενο φορέα. Δεν συνιστά μέρος της έκθεσης επιθεώρησης. |
ΠΑΡΑΡΤΗΜΑ Α IV
ΠΡΟΣΤΑΣΙΑ ΤΩΝ ΔΠΕΕ ΠΟΥ ΑΠΟΤΕΛΟΥΝ ΑΝΤΙΚΕΙΜΕΝΟ ΧΕΙΡΙΣΜΟΥ ΣΕ ΣΕΠ
I. ΕΙΣΑΓΩΓΗ
|
1. |
Το παρόν παράρτημα περιέχει διατάξεις για την εφαρμογή του άρθρου 8 του παραρτήματος Α. |
|
2. |
Οι ακόλουθες ιδιότητες και έννοιες της διασφάλισης των πληροφοριών (ΔΠ) είναι ουσιώδεις για την ασφάλεια και την ορθή εκτέλεση των λειτουργιών στο πλαίσιο συστημάτων επικοινωνίας και πληροφοριών (ΣΕΠ):
|
II. ΑΡΧΕΣ ΤΗΣ ΔΙΑΣΦΑΛΙΣΗΣ ΤΩΝ ΠΛΗΡΟΦΟΡΙΩΝ
|
3. |
Οι κατωτέρω διατάξεις αποτελούν τη βάση για την ασφάλεια όλων των ΣΕΠ που χειρίζονται ΔΠΕΕ. Λεπτομερείς απαιτήσεις για την εφαρμογή των διατάξεων αυτών θα καθοριστούν σε κατευθυντήριες γραμμές ασφάλειας όσον αφορά τη ΔΠ. |
Διαχείριση των κινδύνων κατά της ασφάλειας
|
4. |
Η διαχείριση των κινδύνων κατά της ασφάλειας αποτελεί αναπόσπαστο μέρος του σχεδιασμού, της ανάπτυξης, της λειτουργίας και της συντήρησης των ΣΕΠ. Η διαχείριση του κινδύνου (αξιολόγηση, επεξεργασία, αποδοχή και κοινοποίηση) διεξάγεται ως επαναληπτική διαδικασία, από κοινού από τους εκπροσώπους των ιδιοκτητών των συστημάτων, τις αρχές των προγραμμάτων, τις επιχειρησιακές αρχές και τις αρχές έγκρισης της ασφάλειας, με χρήση δοκιμασμένης, διαφανούς και πλήρως κατανοητής διαδικασίας αξιολόγησης κινδύνου. Το πεδίο εφαρμογής των ΣΕΠ και τα στοιχεία τους ορίζονται με σαφήνεια στην αρχή της διαδικασίας διαχείρισης κινδύνων. |
|
5. |
Οι αρμόδιες αρχές της ΕΥΕΔ εξετάζουν τις εν δυνάμει απειλές που αντιμετωπίζουν τα ΣΕΠ και διατηρούν ενημερωμένες και ακριβείς αξιολογήσεις απειλών που αντιστοιχούν στο τρέχον επιχειρησιακό περιβάλλον. Ενημερώνουν διαρκώς τις γνώσεις τους ως προς τα ζητήματα τρωτότητας και επανεξετάζουν περιοδικά την αξιολόγηση τρωτότητας προκειμένου να ανταποκρίνονται στο εξελισσόμενο περιβάλλον της τεχνολογίας των πληροφοριών (ΤΠ). |
|
6. |
Στόχος της διαχείρισης των κινδύνων κατά της ασφάλειας είναι η εφαρμογή μιας δέσμης μέτρων ασφάλειας που οδηγεί σε ικανοποιητική ισορροπία μεταξύ των απαιτήσεων των χρηστών και του υπολειπόμενου κινδύνου κατά της ασφάλειας. |
|
7. |
Οι ειδικές απαιτήσεις, η κλίμακα και ο βαθμός των λεπτομερειών που καθορίζονται από την αρμόδια Αρχή Πιστοποίησης της Ασφάλειας (ΑΠΑ) για την πιστοποίηση ΣΕΠ είναι αναλογικές προς τον εκτιμώμενο κίνδυνο, λαμβάνουν δε υπόψη όλους τους συναφείς παράγοντες και μεταξύ άλλων το επίπεδο διαβάθμισης των ΔΠΕΕ που αποτελούν αντικείμενο χειρισμού στο ΣΕΠ. Η πιστοποίηση περιλαμβάνει τυπική δήλωση υπολειπόμενου κινδύνου και την αποδοχή του υπολειπόμενου κινδύνου από υπεύθυνη αρχή. |
Ασφάλεια καθ' όλη τη διάρκεια του κύκλου ζωής του ΣΕΠ
|
8. |
Η εγγύηση της ασφάλειας αποτελεί απαίτηση σε όλη τη διάρκεια του κύκλου ζωής του ΣΕΠ από το σχεδιασμό έως την απόσυρση από την υπηρεσία. |
|
9. |
Ο ρόλος και η συμβολή κάθε συμμετέχοντος σε ΣΕΠ φορέα ως προς την ασφάλειά του προσδιορίζεται σε κάθε φάση του κύκλου ζωής. |
|
10. |
Όλα τα ΣΕΠ, συμπεριλαμβανομένων των τεχνικών και μη τεχνικών μέτρων ασφάλειας, υποβάλλονται σε δοκιμές ασφάλειας κατά τη διάρκεια της διαδικασίας πιστοποίησης προκειμένου να εξασφαλίζεται ότι έχει επιτευχθεί το κατάλληλο επίπεδο διασφάλισης ως προς τα εφαρμοζόμενα μέτρα ασφάλειας και να επαληθεύεται ότι τα εν λόγω μέτρα έχουν εφαρμοστεί, ολοκληρωθεί και διαμορφωθεί ορθώς. |
|
11. |
Αξιολογήσεις, επιθεωρήσεις και έλεγχοι ασφάλειας διεξάγονται κατά τακτά διαστήματα στη διάρκεια της λειτουργίας και της συντήρησης του ΣΕΠ καθώς και όταν προκύπτουν έκτακτες καταστάσεις. |
|
12. |
Η τεκμηρίωση ασφάλειας ενός ΣΕΠ εξελίσσεται κατά τη διάρκεια του κύκλου ζωής του ως αναπόσπαστο μέρος της διαδικασίας διαχείρισης της αλλαγής και της διαμόρφωσης. |
Βέλτιστες πρακτικές
|
13. |
Η ΕΥΕΔ συνεργάζεται με τη ΓΓΣ, την Επιτροπή και τα κράτη μέλη με στόχο την ανάπτυξη βέλτιστων πρακτικών για την προστασία των ΔΠΕΕ που αποτελούν αντικείμενο χειρισμού σε ΣΕΠ. Οι οδηγίες βέλτιστων πρακτικών περιλαμβάνουν κατάλογο τεχνικών, υλικών, οργανωτικών και διαδικαστικών μέτρων ασφάλειας για ΣΕΠ των οποίων έχει αποδειχθεί η αποτελεσματικότητα στην αντιμετώπιση δεδομένων απειλών και τρωτών σημείων. |
|
14. |
Η προστασία των ΔΠΕΕ που αποτελούν αντικείμενο χειρισμού σε ΣΕΠ επωφελείται από τα διδάγματα που έχουν αποκομίσει οι αρχές που συμμετέχουν σε ΔΠ, τόσο εντός της ΕΕ όσο και εκτός αυτής. |
|
15. |
Η διάδοση και η επακόλουθη εφαρμογή βέλτιστων πρακτικών βοηθούν στην επίτευξη ισοδύναμου επιπέδου διασφάλισης για τα διάφορα ΣΕΠ που χρησιμοποιούνται από την ΕΥΕΔ και χειρίζονται ΔΠΕΕ. |
Άμυνα εις βάθος
|
16. |
Για τον περιορισμό του κινδύνου που αντιμετωπίζουν τα ΣΕΠ, εφαρμόζεται σειρά τεχνικών και μη τεχνικών μέτρων ασφάλειας, τα οποία οργανώνονται ως πολλαπλά επίπεδα άμυνας. Τα επίπεδα αυτά περιλαμβάνουν τα εξής:
Ο βαθμός αυστηρότητας και εφαρμοσιμότητας των εν λόγω μέτρων ασφάλειας καθορίζεται κατόπιν αξιολόγησης κινδύνου. |
|
17. |
Οι αρμόδιες αρχές της ΕΥΕΔ μεριμνούν ώστε να μπορούν να αντιμετωπίζουν συμβάντα που ενδέχεται να υπερβαίνουν τα όρια οργανισμών και κρατών για τον συντονισμό των αντιδράσεων και την ανταλλαγή πληροφοριών ως προς τα συμβάντα αυτά και τον συναφή κίνδυνο (ικανότητες αντιμετώπισης έκτακτων περιστατικών στον τομέα της πληροφορικής). |
Αρχή της ελαχιστότητας και των ελάχιστων προνομίων
|
18. |
Χρησιμοποιούνται μόνο οι λειτουργίες, οι συσκευές και οι υπηρεσίες για την ικανοποίηση των λειτουργικών απαιτήσεων, προκειμένου να αποφεύγονται οι περιττοί κίνδυνοι. |
|
19. |
Στους χρήστες ΣΕΠ και στις αυτοματοποιημένες διαδικασίες θα παρέχονται μόνο οι δυνατότητες πρόσβασης, τα προνόμια ή οι εξουσιοδοτήσεις που χρειάζονται για την εκτέλεση των καθηκόντων τους, προκειμένου να περιορίζονται τυχόν βλάβες λόγω ατυχήματος, σφάλματος ή μη εξουσιοδοτημένης χρήσης των πόρων των ΣΕΠ. |
|
20. |
Οι διαδικασίες καταχώρισης που εκτελεί ένα ΣΕΠ, εφόσον απαιτείται, επαληθεύονται ως μέρος της διαδικασίας πιστοποίησης. |
Ευαισθητοποίηση ως προς τη διασφάλιση των πληροφοριών
|
21. |
Η ευαισθητοποίηση ως προς τους κινδύνους και τα διαθέσιμα μέτρα ασφάλειας αποτελεί την πρώτη γραμμή άμυνας για την ασφάλεια των ΣΕΠ. Ειδικότερα, το σύνολο του προσωπικού που συμμετέχει στον κύκλο ζωής του ΣΕΠ, περιλαμβανομένων και των χρηστών, πρέπει να κατανοεί:
|
|
22. |
Για να διασφαλισθεί ότι γίνονται αντιληπτές οι ευθύνες ως προς την ασφάλεια, η εκπαίδευση και η κατάρτιση ευαισθητοποίησης σε θέματα ΔΠ είναι υποχρεωτικές για όλα τα μέλη του προσωπικού, συμπεριλαμβανομένων των ανώτερων στελεχών και των χρηστών ΣΕΠ. |
Αξιολόγηση και έγκριση προϊόντων ασφάλειας ΤΠ
|
23. |
Ο απαιτούμενος βαθμός εμπιστοσύνης στα μέτρα ασφάλειας, οριζόμενος ως επίπεδο διασφάλισης, καθορίζεται ανάλογα με την έκβαση της διαδικασίας διαχείρισης κινδύνων και σύμφωνα με τις οικείες πολιτικές και κατευθυντήριες γραμμές ασφάλειας. |
|
24. |
Το επίπεδο διασφάλισης επαληθεύεται με τη χρήση διεθνώς αναγνωρισμένων ή εθνικά εγκεκριμένων διαδικασιών και μεθόδων. Πρόκειται κυρίως για τη διενέργεια αξιολογήσεων και διεξαγωγή ελέγχων. |
|
25. |
Τα κρυπτογραφικά προϊόντα προστασίας των ΔΠΕΕ αξιολογούνται και εγκρίνονται από την εθνική Αρχή Έγκρισης Κρυπτογραφικών Μεθόδων (ΑΕΚΜ) ενός κράτους μέλους. |
|
26. |
Προτού προταθούν για έγκριση από την ΑΕΚΜ της ΕΥΕΔ σύμφωνα με το άρθρο 8 παράγραφος 5 της παρούσας απόφασης, τα κρυπτογραφικά αυτά προϊόντα έχουν υποβληθεί σε δεύτερη επιτυχή αξιολόγηση από κατάλληλα πιστοποιημένη αρχή (ΚΠΑ) κράτους μέλους που δεν συμμετέχει στον σχεδιασμό ή την κατασκευή του εξοπλισμού. Ο βαθμός λεπτομέρειας που απαιτείται κατά τη δεύτερη αξιολόγηση εξαρτάται από το μελετώμενο μέγιστο επίπεδο διαβάθμισης των ΔΠΕΕ που θα προστατεύονται από τα προϊόντα αυτά. |
|
27. |
Οσάκις δικαιολογείται για συγκεκριμένους επιχειρησιακούς λόγους, η ΑΕΚΜ της ΕΥΕΔ μπορεί, κατόπιν σύστασης της Επιτροπής Ασφάλειας του Συμβουλίου, να αποφασίζει ότι δεν θα εφαρμοστούν οι απαιτήσεις των παραγράφων 25 ή 26 και να χορηγεί προσωρινή έγκριση για συγκεκριμένη περίοδο, σύμφωνα με το άρθρο 8 παράγραφος 5 της παρούσας απόφασης. |
|
28. |
Η ΚΠΑ πρέπει να είναι ΑΕΚΜ κράτους μέλους που έχει λάβει πιστοποίηση βάσει κριτηρίων που έχει ορίσει το Συμβούλιο, για τη διεξαγωγή της δεύτερης αξιολόγησης κρυπτογραφικών προϊόντων για την προστασία ΔΠΕΕ. |
|
29. |
Ο ύπατος εκπρόσωπος εγκρίνει πολιτική ασφάλειας σχετικά με τις προδιαγραφές και την έγκριση μη κρυπτογραφικών προϊόντων ασφάλειας ΤΠ. |
Διαβίβαση εντός χώρων ασφαλείας
|
30. |
Παρά τις διατάξεις της παρούσας απόφασης, όταν η διαβίβαση των ΔΠΕΕ περιορίζεται εντός χώρων ασφαλείας ή διοικητικών χώρων, μπορεί να χρησιμοποιείται η μη κρυπτογραφημένη διαβίβαση ή η κρυπτογράφηση σε χαμηλότερο επίπεδο βασιζόμενη στα αποτελέσματα διαδικασίας διαχείρισης κινδύνων και με την έγκριση της ΑΠΑ. |
Ασφαλής διασύνδεση ΣΕΠ
|
31. |
Για τους σκοπούς της παρούσας απόφασης, ως διασύνδεση νοείται η άμεση σύνδεση μονής ή πολλαπλής κατεύθυνσης, δύο ή περισσοτέρων συστημάτων ΤΠ για την ανταλλαγή δεδομένων και άλλων πληροφοριακών πόρων (π.χ. επικοινωνία). |
|
32. |
Ένα ΣΕΠ πρέπει να αντιμετωπίζει οποιοδήποτε διασυνδεδεμένο σύστημα ΤΠ ως μη έμπιστο και να εφαρμόζει μέτρα προστασίας για τον έλεγχο της ανταλλαγής διαβαθμισμένων πληροφοριών. |
|
33. |
Για όλες τις διασυνδέσεις ΣΕΠ με άλλο σύστημα ΤΠ πρέπει να τηρούνται οι ακόλουθες βασικές απαιτήσεις:
|
|
34. |
Δεν επιτρέπεται διασύνδεση μεταξύ πιστοποιημένου ΣΕΠ με μη προστατευόμενο ή δημόσιο δίκτυο, εκτός εάν το ΣΕΠ έχει εγκρίνει ΥΠΠ που έχουν εγκατασταθεί για το σκοπό αυτό μεταξύ του ΣΕΠ και του μη προστατευόμενου ή δημόσιου δικτύου. Τα μέτρα ασφάλειας για τις διασυνδέσεις αυτές επανεξετάζονται από την αρμόδια Αρχή Διασφάλισης Πληροφοριών (ΑΔΠ) και εγκρίνονται από την αρμόδια ΑΠΑ.
Όταν το μη προστατευόμενο ή δημόσιο δίκτυο χρησιμοποιείται αποκλειστικά ως κομιστής και τα δεδομένα έχουν κρυπτογραφηθεί από κρυπτογραφικό προϊόν που έχει λάβει έγκριση σύμφωνα με το άρθρο 8 παράγραφος 5 της παρούσας απόφασης, η σύνδεση αυτή δεν θεωρείται διασύνδεση. |
|
35. |
Η άμεση ή διαδοχική διασύνδεση ενός ΣΕΠ που έχει λάβει πιστοποίηση για να χειρίζεται διαβάθμιση TRES SECRET UE/EU TOP SECRET με μη προστατευόμενο ή δημόσιο δίκτυο απαγορεύεται. |
Ηλεκτρονικά μέσα αποθήκευσης
|
36. |
Τα ηλεκτρονικά μέσα αποθήκευσης καταστρέφονται σύμφωνα με εγκεκριμένες από την Αρχή Ασφάλειας της ΕΥΕΔ διαδικασίες. |
|
37. |
Τα ηλεκτρονικά μέσα αποθήκευσης επαναχρησιμοποιούνται, υποχαρακτηρίζονται ή αποχαρακτηρίζονται σύμφωνα με τις κατευθυντήριες γραμμές υποχαρακτηρισμού και αποχαρακτηρισμού ΔΠΕΕ της ΕΥΕΔ που καταρτίζονται σύμφωνα με το άρθρο 8 παράγραφος 2 της παρούσας απόφασης. |
Έκτακτα περιστατικά
|
38. |
Παρά τις διατάξεις της παρούσας απόφασης, οι ειδικές διαδικασίες που περιγράφονται παρακάτω μπορούν να εφαρμόζονται για περιορισμένο χρονικό διάστημα σε περιπτώσεις έκτακτων περιστατικών, όπως καταστάσεις επικείμενης ή πραγματικής κρίσης, σύγκρουσης ή πολέμου ή υπό εξαιρετικές επιχειρησιακές περιστάσεις. |
|
39. |
Οι ΔΠΕΕ μπορούν να διαβιβάζονται με τη χρήση κρυπτογραφικών προϊόντων που έχουν λάβει έγκριση για χαμηλότερο επίπεδο διαβάθμισης ή χωρίς κρυπτογράφηση, με τη συγκατάθεση της αρμόδιας αρχής, εάν οποιαδήποτε καθυστέρηση θα ήταν ικανή να προξενήσει ζημιά σαφώς μεγαλύτερη από τη ζημιά που θα προκαλούσε η τυχόν κοινολόγηση του διαβαθμισμένου υλικού και εφόσον:
|
|
40. |
Οι διαβαθμισμένες πληροφορίες που διαβιβάζονται υπό τις περιστάσεις που περιγράφονται στην παράγραφο 39 δεν πρέπει να φέρουν σημάνσεις ή ενδείξεις που τις διακρίνουν από μη διαβαθμισμένες πληροφορίες ή από πληροφορίες που μπορούν να προστατευθούν με τα διαθέσιμα κρυπτογραφικά προϊόντα. Οι παραλήπτες τους πρέπει να ενημερώνονται αμελλητί για το επίπεδο διαβάθμισης με άλλα μέσα. |
|
41. |
Σε περίπτωση εφαρμογής της παραγράφου 39, αποστέλλεται σχετική έκθεση στη Διεύθυνση Ασφάλειας Έδρας και Ασφάλειας Πληροφοριών της ΕΥΕΔ και, από αυτήν, στην Επιτροπή Ασφάλειας της ΕΥΕΔ. Στην εν λόγω έκθεση αναφέρεται τουλάχιστον ο αποστολέας, ο παραλήπτης και ο φορέας προέλευσης κάθε ΔΠΕΕ. |
III. ΛΕΙΤΟΥΡΓΙΕΣ ΚΑΙ ΑΡΧΕΣ ΔΙΑΣΦΑΛΙΣΗΣ ΤΩΝ ΠΛΗΡΟΦΟΡΙΩΝ
|
42. |
Θεσπίζονται οι ακόλουθες λειτουργίες ΔΠ στην ΕΥΕΔ. Οι λειτουργίες αυτές δεν απαιτούν ενιαίες οργανωτικές μονάδες. Έχουν χωριστές εντολές. Ωστόσο, οι λειτουργίες αυτές και οι σχετικές ευθύνες μπορούν να συνδυάζονται ή να εντάσσονται στην ίδια οργανωτική μονάδα ή να χωρίζονται σε διαφορετικές οργανωτικές μονάδες, υπό την προϋπόθεση ότι αποφεύγονται οι εσωτερικές συγκρούσεις συμφερόντων ή καθηκόντων. |
Αρχή Διασφάλισης Πληροφοριών (ΑΔΠ)
|
43. |
Η ΑΔΠ είναι υπεύθυνη για τα εξής:
|
Αρχή TEMPEST
|
44. |
Η Αρχή TEMPEST (ΑΤ) είναι αρμόδια για την εξασφάλιση της συμμόρφωσης του ΣΕΠ με τις πολιτικές και κατευθυντήριες γραμμές TEMPEST. Εγκρίνει αντίμετρα TEMPEST για εγκαταστάσεις και προϊόντα για την προστασία των ΔΠΕΕ μέχρις ορισμένου επιπέδου διαβάθμισης στο οικείο επιχειρησιακό περιβάλλον. |
Αρχή Έγκρισης Κρυπτογραφικών Μεθόδων (ΑΕΚΜ)
|
45. |
Η ΑΕΚΜ είναι αρμόδια να διασφαλίζει τη συμμόρφωση των κρυπτογραφικών προϊόντων με τις αντίστοιχες κρυπτογραφικές κατευθυντήριες γραμμές. Εγκρίνει κρυπτογραφικά προϊόντα για την προστασία ΔΠΕΕ μέχρι ορισμένου επιπέδου διαβάθμισης στο οικείο επιχειρησιακό περιβάλλον. |
Αρχή Διανομής Κρυπτογραφικών Μεθόδων (ΑΔΚΜ)
|
46. |
Η ΑΔΚΜ είναι επιφορτισμένη με τα εξής καθήκοντα:
|
Αρχή Πιστοποίησης της Ασφάλειας (ΑΠΑ)
|
47. |
Η ΑΠΑ κάθε συστήματος είναι επιφορτισμένη με τα εξής:
|
|
48. |
Η ΑΠΑ της ΕΥΕΔ είναι αρμόδια για την πιστοποίηση όλων των ΣΕΠ που λειτουργούν στο πλαίσιο των αρμοδιοτήτων της ΕΥΕΔ. |
Συμβούλιο Πιστοποίησης Ασφάλειας (ΣΠΑ)
|
49. |
Ένα κοινό ΣΠΑ είναι υπεύθυνο για την πιστοποίηση των ΣΕΠ στο πλαίσιο των αρμοδιοτήτων τόσο της ΑΠΑ της ΕΥΕΔ όσο και των ΑΠΑ των κρατών μελών. Αποτελείται από έναν εκπρόσωπο ΑΠΑ εκάστου κράτους μέλους, ενώ στις συνεδριάσεις του συμμετέχει ένας εκπρόσωπος ΑΠΑ της ΓΓΣ και της Επιτροπής. Καλούνται να συμμετέχουν και άλλοι φορείς που διαθέτουν κόμβους σε ΣΕΠ όταν θα συζητείται το εν λόγω σύστημα.
Πρόεδρος του ΣΠΑ είναι ένας εκπρόσωπος της ΑΠΑ της ΕΥΕΔ. Ενεργεί με τη συναίνεση των εκπροσώπων ΑΠΑ των θεσμικών οργάνων, των κρατών μελών και άλλων φορέων που διαθέτουν κόμβους στο ΣΕΠ. Το ΣΠΑ υποβάλλει περιοδικές εκθέσεις σχετικά με τις δραστηριότητές του στην Επιτροπή Ασφάλειας της ΕΥΕΔ και της κοινοποιεί όλες τις δηλώσεις πιστοποίησης. |
Επιχειρησιακή Αρχή Διασφάλισης Πληροφοριών
|
50. |
Η Επιχειρησιακή Αρχή ΔΠ κάθε συστήματος είναι επιφορτισμένη με τα εξής:
|
ΠΑΡΑΡΤΗΜΑ A V
ΒΙΟΜΗΧΑΝΙΚΗ ΑΣΦΑΛΕΙΑ
I. ΕΙΣΑΓΩΓΗ
|
1. |
Το παρόν παράρτημα περιέχει διατάξεις για την εφαρμογή του άρθρου 9 του παραρτήματος Α. Ορίζει γενικές διατάξεις ασφάλειας που εφαρμόζονται στους βιομηχανικούς ή άλλους φορείς κατά τις προσυμβατικές διαπραγματεύσεις και καθ’ όλη τη διάρκεια του κύκλου ζωής των διαβαθμισμένων συμβάσεων εργολαβίας που συνάπτει η ΕΥΕΔ. |
|
2. |
Η Αρχή Ασφάλειας της ΕΥΕΔ εγκρίνει κατευθυντήριες γραμμές βιομηχανικής ασφάλειας οι οποίες περιλαμβάνουν ειδικότερα λεπτομερείς απαιτήσεις όσον αφορά τις εξουσιοδοτήσεις ασφάλειας φορέα (ΕΑΦ), τα έγγραφα θεμάτων ασφάλειας (ΕΘΑ), τις επισκέψεις, τη διαβίβαση και τη μεταφορά των ΔΠΕΕ. |
II. ΣΤΟΙΧΕΙΑ ΑΣΦΑΛΕΙΑΣ ΣΕ ΔΙΑΒΑΘΜΙΣΜΕΝΗ ΣΥΜΒΑΣΗ ΕΡΓΟΛΑΒΙΑΣ
Οδηγός διαβαθμίσεων ασφάλειας (ΟΔΑ)
|
3. |
Πριν από την έναρξη διαδικασίας πρόσκλησης υποβολής προσφορών ή τη σύναψη διαβαθμισμένης σύμβασης εργολαβίας, η ΕΥΕΔ, ως αναθέτουσα αρχή, καθορίζει τη διαβάθμιση ασφάλειας κάθε πληροφορίας που πρέπει να παρέχεται στους υποψηφίους και στους εργολάβους, καθώς και τη διαβάθμιση ασφάλειας κάθε πληροφορίας που παράγεται από τον εργολάβο. Προς τούτο, η ΕΥΕΔ καταρτίζει ΟΔΑ που θα χρησιμοποιείται για την εκτέλεση της σύμβασης. |
|
4. |
Προκειμένου να καθορισθεί η διαβάθμιση ασφάλειας των διάφορων στοιχείων μιας διαβαθμισμένης σύμβασης εργολαβίας, εφαρμόζονται οι ακόλουθες αρχές:
|
Έγγραφο θεμάτων ασφάλειας (ΕΘΑ)
|
5. |
Οι απαιτήσεις ασφάλειας της εκάστοτε σύμβασης περιγράφονται σε ΕΘΑ. Εφόσον απαιτείται, το ΕΘΑ περιλαμβάνει τον ΟΔΑ και αποτελεί αναπόσπαστο μέρος διαβαθμισμένης σύμβασης εργολαβίας ή υπεργολαβίας. |
|
6. |
Το ΕΘΑ περιέχει διατάξεις που απαιτούν από τον εργολάβο και/ή τον υπεργολάβο να συμμορφώνεται προς τα ελάχιστα πρότυπα που ορίζονται στην παρούσα απόφαση. Η μη συμμόρφωση με τα ελάχιστα πρότυπα μπορεί να συνιστά επαρκή λόγο καταγγελίας της σύμβασης. |
Εντολές ασφάλειας προγράμματος/έργου (ΕΑΠΕ)
|
7. |
Ανάλογα με το πεδίο εφαρμογής προγραμμάτων ή έργων που αφορούν την πρόσβαση σε ΔΠΕΕ ή τον χειρισμό ή την αποθήκευσή τους, η αναθέτουσα αρχή στην οποία έχει ανατεθεί η διαχείριση του προγράμματος ή του έργου μπορεί να εκπονήσει ειδικές εντολές ασφάλειας προγράμματος/έργου (ΕΑΠΕ). Οι ΕΑΠΕ εγκρίνονται από τις ΕΑΑ/ΚΑΑ των κρατών μελών ή από οποιαδήποτε άλλη αρμόδια αρχή ασφάλειας συμμετέχει στο πρόγραμμα/έργο, και μπορούν να προβλέπουν πρόσθετες απαιτήσεις ασφάλειας. |
III. ΕΞΟΥΣΙΟΔΟΤΗΣΗ ΑΣΦΑΛΕΙΑΣ ΦΟΡΕΑ (ΕΑΦ)
|
8. |
Η Διεύθυνση Ασφάλειας Έδρας και Ασφάλειας Πληροφοριών της ΕΥΕΔ ζητεί από την ΕΑΑ ή την ΚΑΑ ή οποιαδήποτε άλλη αρμόδια αρχή ασφάλειας του οικείου κράτους μέλους να χορηγήσει ΕΑΦ που να δηλώνει, βάσει των εθνικών νομοθετικών και κανονιστικών διατάξεων, ότι ένας βιομηχανικός ή άλλος φορέας μπορεί να προστατεύει τις ΔΠΕΕ στις εγκαταστάσεις του στο κατάλληλο επίπεδο διαβάθμισης ασφάλειας (CONFIDENTIEL UE/EU CONFIDENTIAL ή SECRET UE/EU SECRET). Σε έναν εργολάβο, υπεργολάβο ή δυνητικό εργολάβο ή υπεργολάβο δεν παρέχεται ή χορηγείται πρόσβαση σε ΔΠΕΕ, μέχρι να διαβιβαστεί στην ΕΥΕΔ αποδεικτικό ΕΑΦ. |
|
9. |
Οσάκις απαιτείται, η ΕΥΕΔ, ως αναθέτουσα αρχή, ενημερώνει την αρμόδια ΕΑΑ/ΚΑΑ ή οποιαδήποτε άλλη αρμόδια αρχή ασφάλειας ότι απαιτείται ΕΑΦ κατά το προσυμβατικό στάδιο ή για την εκτέλεση της σύμβασης. Απαιτείται ΕΑΦ ή ΕΑΠ κατά το προσυμβατικό στάδιο όταν πρέπει να παρασχεθούν ΔΠΕΕ με διαβάθμιση CONFIDENTIEL UE/EU CONFIDENTIAL ή SECRET UE/EU SECRET κατά τη διάρκεια της διαδικασίας υποβολής προσφορών. |
|
10. |
Η ΕΥΕΔ, ως αναθέτουσα αρχή, δεν αναθέτει διαβαθμισμένη σύμβαση εργολαβίας στον προτιμώμενο υποψήφιο προτού λάβει επιβεβαίωση από την ΕΑΑ/ΚΑΑ ή οποιαδήποτε άλλη αρμόδια αρχή ασφάλειας του κράτους μέλους στο οποίο έχει την έδρα του ο εργολάβος ή ο υπεργολάβος ότι έχει εκδοθεί η δέουσα ΕΑΦ όπου απαιτείται. |
|
11. |
Η ΕΥΕΔ, ως αναθέτουσα αρχή, ζητεί από την ΕΑΑ/ΚΑΑ ή κάθε άλλη αρμόδια αρχή ασφάλειας που έχει εκδώσει ΕΑΦ να την ενημερώνει για τυχόν αρνητικές πληροφορίες που επηρεάζουν την ΕΑΦ. Σε περίπτωση υπεργολαβίας, η ΕΑΑ/ΚΑΑ ή κάθε άλλη αρμόδια αρχή ασφάλειας ενημερώνεται αναλόγως. |
|
12. |
Η ανάκληση ΕΑΦ από την αρμόδια ΕΑΑ/ΚΑΑ ή οποιαδήποτε άλλη αρμόδια αρχή ασφάλειας συνιστά επαρκή λόγο για να καταγγείλει η ΕΥΕΔ, ως αναθέτουσα αρχή, διαβαθμισμένη σύμβαση εργολαβίας ή να αποκλείσει υποψήφιο από τον διαγωνισμό. |
IV. Εξουσιοδοτήσεις ασφάλειας προσωπικού (ΕΑΠ) για το προσωπικό των εργολάβων
|
13. |
Κάθε μέλος προσωπικού απασχολούμενο από εργολάβο που χρειάζεται πρόσβαση σε ΔΠΕΕ με διαβάθμιση CONFIDENTIEL UE/EU CONFIDENTIAL ή ανώτερη έχει λάβει τη δέουσα εξουσιοδότηση ασφάλειας και διαθέτει «ανάγκη γνώσης» για την πρόσβαση στις πληροφορίες αυτές. Παρότι δεν απαιτείται ΕΑΠ για την πρόσβαση σε ΔΠΕΕ επιπέδου RESTREINT UE/EU RESTRICTED, πρέπει να υφίσταται «ανάγκη γνώσης» για την πρόσβαση αυτήν. |
|
14. |
Οι αιτήσεις για ΕΑΠ για προσωπικό εργολάβων υποβάλλονται στην ΕΑΑ/ΚΑΑ που είναι αρμόδια για τον φορέα. |
|
15. |
Η ΕΥΕΔ επισημαίνει στους εργολάβους που επιθυμούν να απασχολήσουν υπήκοο τρίτου κράτους σε θέση που απαιτεί πρόσβαση σε ΔΠΕΕ ότι αποτελεί ευθύνη της ΕΑΑ/ΚΑΑ του κράτους μέλους όπου έχει συσταθεί και έχει την έδρα του ο φορέας πρόσληψης να διαπιστώσει αν μπορεί να χορηγηθεί στο εν λόγω πρόσωπο πρόσβαση στις πληροφορίες αυτές, σύμφωνα με την παρούσα απόφαση, καθώς και να επιβεβαιώσει ότι έχει παρασχεθεί η συγκατάθεση του φορέα προέλευσης πριν από την παροχή της πρόσβασης. |
V. ΔΙΑΒΑΘΜΙΣΜΕΝΕΣ ΣΥΜΒΑΣΕΙΣ ΕΡΓΟΛΑΒΙΑΣ ΚΑΙ ΥΠΕΡΓΟΛΑΒΙΑΣ
|
16. |
Όταν, κατά το προσυμβατικό στάδιο, παρέχονται ΔΠΕΕ σε υποψήφιο, η πρόσκληση υποβολής προσφορών περιέχει διάταξη που υποχρεώνει τον υποψήφιο ο οποίος τελικά δεν υποβάλλει προσφορά ή δεν επιλέγεται να επιστρέψει όλα τα διαβαθμισμένα έγγραφα εντός συγκεκριμένου χρονικού διαστήματος. |
|
17. |
Μόλις ανατεθεί διαβαθμισμένη σύμβαση εργολαβίας ή υπεργολαβίας, η ΕΥΕΔ, ως αναθέτουσα αρχή, ενημερώνει την ΕΑΑ/ΚΑΑ του εργολάβου ή του υπεργολάβου ή οποιαδήποτε άλλη αρμόδια αρχή ασφάλειας σχετικά με τις διατάξεις ασφάλειας της διαβαθμισμένης σύμβασης εργολαβίας. |
|
18. |
Σε περίπτωση καταγγελίας ή λήξης των συμβάσεων αυτών, η ΕΥΕΔ, ως αναθέτουσα αρχή, (και/ή η ΕΑΑ/ΚΑΑ ή οποιαδήποτε άλλη αρμόδια αρχή ασφάλειας, αναλόγως, σε περίπτωση υπεργολαβίας) ενημερώνει αμέσως την ΕΑΑ/ΚΑΑ ή οποιαδήποτε άλλη αρμόδια αρχή ασφάλειας του κράτους μέλους στο οποίο έχει την έδρα του ο εργολάβος ή ο υπεργολάβος. |
|
19. |
Κατά κανόνα, ο εργολάβος ή ο υπεργολάβος υποχρεούται να επιστρέψει στην αναθέτουσα αρχή, άμα τη λύσει ή τη λήξει της διαβαθμισμένης σύμβασης εργολαβίας ή υπεργολαβίας, οποιαδήποτε ΔΠΕΕ έχει στην κατοχή του. |
|
20. |
Ειδικές διατάξεις για τη διάθεση των ΔΠΕΕ κατά την εκτέλεση της σύμβασης ή κατά τη λύση ή τη λήξη της ορίζονται στο ΕΘΑ. |
|
21. |
Όταν ο εργολάβος ή ο υπεργολάβος έχει άδεια διατήρησης ΔΠΕΕ μετά τη λύση ή τη λήξη της σύμβασης, τα ελάχιστα πρότυπα που προβλέπονται στην παρούσα απόφαση συνεχίζουν να τηρούνται και το απόρρητο των ΔΠΕΕ προστατεύεται από τον εργολάβο ή τον υπεργολάβο. |
|
22. |
Οι όροι υπό τους οποίους ο εργολάβος μπορεί να συνάπτει σύμβαση υπεργολαβίας καθορίζονται στην πρόσκληση υποβολής προσφορών και στη σύμβαση. |
|
23. |
Ο εργολάβος λαμβάνει άδεια από την ΕΥΕΔ, ως αναθέτουσα αρχή, προτού αναθέσει τμήματα διαβαθμισμένης σύμβασης εργολαβίας σε υπεργολάβους. Δεν ανατίθεται σύμβαση υπεργολαβίας σε βιομηχανικούς ή άλλους φορείς οι οποίοι έχουν την έδρα τους σε κράτος που δεν είναι μέλος της ΕΕ και δεν έχει συνάψει συμφωνία ασφάλειας πληροφοριών με την ΕΕ. |
|
24. |
Ο εργολάβος οφείλει να μεριμνά ώστε όλες οι υπεργολαβικές δραστηριότητες να αναλαμβάνονται σύμφωνα με τα ελάχιστα πρότυπα της παρούσας απόφασης και δεν παρέχει ΔΠΕΕ σε υπεργολάβο χωρίς την προηγούμενη γραπτή συγκατάθεση της αναθέτουσας αρχής. |
|
25. |
Όσον αφορά τις ΔΠΕΕ τις οποίες παράγει ή χειρίζεται ο εργολάβος ή ο υπεργολάβος, τα δικαιώματα του φορέα προέλευσης ασκούνται από την αναθέτουσα αρχή. |
VI. ΕΠΙΣΚΕΨΕΙΣ ΣΧΕΤΙΖΟΜΕΝΕΣ ΜΕ ΔΙΑΒΑΘΜΙΣΜΕΝΕΣ ΣΥΜΒΑΣΕΙΣ ΕΡΓΟΛΑΒΙΑΣ
|
26. |
Όταν η ΕΥΕΔ, οι εργολάβοι ή οι υπεργολάβοι χρειάζονται πρόσβαση σε πληροφορίες με τη διαβάθμιση CONFIDENTIEL UE/EU CONFIDENTIAL ή SECRET UE/EU SECRET στις αντίστοιχες εγκαταστάσεις τους για την εκτέλεση διαβαθμισμένης σύμβασης εργολαβίας, διοργανώνονται επισκέψεις σε συνεργασία με τις ΕΑΑ/ΚΑΑ ή κάθε άλλη αρμόδια αρχή ασφάλειας. Αυτό δεν θίγει το δικαίωμα των ΕΑΑ/ΚΑΑ, στο πλαίσιο ειδικών έργων, να εγκρίνουν διαδικασία όπου οι επισκέψεις αυτές μπορούν να διοργανώνονται απευθείας. |
|
27. |
Όλοι οι επισκέπτες διαθέτουν τη δέουσα ΕΑΠ και έχουν ανάγκη γνώσης για την πρόσβαση στις ΔΠΕΕ που συνδέονται με τη σύμβαση ΕΥΕΔ. |
|
28. |
Στους επισκέπτες χορηγείται πρόσβαση μόνο στις ΔΠΕΕ που έχουν σχέση με το σκοπό της επίσκεψης. |
VII. ΔΙΑΒΙΒΑΣΗ ΚΑΙ ΜΕΤΑΦΟΡΑ ΤΩΝ ΔΠΕΕ
|
29. |
Όσον αφορά τη διαβίβαση ΔΠΕΕ με ηλεκτρονικά μέσα, ισχύουν οι σχετικές διατάξεις του άρθρου 8 του παραρτήματος Α και του παραρτήματος A IV. |
|
30. |
Όσον αφορά τη μεταφορά ΔΠΕΕ, ισχύουν οι οικείες διατάξεις του παραρτήματος III, σύμφωνα με τις εθνικές νομοθετικές και κανονιστικές διατάξεις. |
|
31. |
Κατά τον καθορισμό των διακανονισμών ασφάλειας για τη μεταφορά διαβαθμισμένου υλικού ως φορτίου, εφαρμόζονται οι ακόλουθες αρχές:
|
VIII. ΜΕΤΑΦΟΡΑ ΔΠΕΕ ΣΕ ΕΡΓΟΛΑΒΟΥΣ ΠΟΥ ΒΡΙΣΚΟΝΤΑΙ ΣΕ ΤΡΙΤΑ ΚΡΑΤΗ
|
32. |
Η μεταφορά ΔΠΕΕ σε εργολάβους και υπεργολάβους που βρίσκονται σε τρίτα κράτη και έχουν συνάψει ισχύουσα συμφωνία ασφάλειας με την ΕΕ διεξάγεται σύμφωνα με τα μέτρα ασφάλειας που έχουν συμφωνήσει η ΕΥΕΔ, ως αναθέτουσα αρχή, και η ΕΑΑ/ΚΑΑ του εν λόγω τρίτου κράτους όπου έχει την έδρα του ο εργολάβος. |
IX. ΧΕΙΡΙΣΜΟΣ ΚΑΙ ΑΠΟΘΗΚΕΥΣΗ ΠΛΗΡΟΦΟΡΙΩΝ ΜΕ ΔΙΑΒΑΘΜΙΣΗ RESTREINT UE/EU RESTRICTED
|
33. |
Σε συνεργασία, κατά περίπτωση, με τις ΕΑΑ/ΚΑΑ του κράτους μέλους, η ΕΥΕΔ, ως αναθέτουσα αρχή, έχει δικαίωμα να επισκέπτεται τις εγκαταστάσεις των εργολάβων/υπεργολάβων βάσει συμβατικών διατάξεων προκειμένου να εξακριβώνει ότι εφαρμόζονται τα σχετικά μέτρα ασφάλειας για την προστασία των ΔΠΕΕ στο επίπεδο RESTREINT UE/EU RESTRICTED όπως απαιτείται στο πλαίσιο της συναφθείσας σύμβασης. |
|
34. |
Στον βαθμό που απαιτείται δυνάμει εθνικών νομοθετικών και κανονιστικών διατάξεων, η ΕΥΕΔ, ως αναθέτουσα αρχή, γνωστοποιεί στις ΕΑΑ/ΚΑΑ ή σε οποιαδήποτε άλλη αρμόδια αρχή ασφάλειας τις συμβάσεις εργολαβίας ή υπεργολαβίας που περιέχουν πληροφορίες με διαβάθμιση RESTREINT UE/EU RESTRICTED. |
|
35. |
Δεν απαιτείται ΕΑΦ ή ΕΑΠ για τους εργολάβους ή τους υπεργολάβους και το προσωπικό τους για συμβάσεις που ανατίθενται από τη ΕΥΕΔ και περιέχουν πληροφορίες με διαβάθμιση RESTREINT UE/EU RESTRICTED. |
|
36. |
Η ΕΥΕΔ, ως αναθέτουσα αρχή, εξετάζει τις απαντήσεις στις προσκλήσεις υποβολής προσφορών για τις συμβάσεις που απαιτούν πρόσβαση σε πληροφορίες με διαβάθμιση RESTREINT UE/EU RESTRICTED, παρά τις οποιεσδήποτε απαιτήσεις σχετικά με ΕΑΦ ή ΕΑΠ που ενδέχεται να υπάρχουν βάσει των εθνικών νομοθετικών και κανονιστικών διατάξεων. |
|
37. |
Οι όροι βάσει των οποίων ο εργολάβος μπορεί να συνάπτει σύμβαση υπεργολαβίας καθορίζονται σύμφωνα με τις παραγράφους 22-24. |
|
38. |
Όταν μια σύμβαση εργολαβίας αφορά τον χειρισμό πληροφοριών με διαβάθμιση RESTREINT UE/EU RESTRICTED σε ΣΕΠ που διαχειρίζεται εργολάβος, η ΕΥΕΔ, ως αναθέτουσα αρχή, μεριμνά ώστε η σύμβαση εργολαβίας ή υπεργολαβίας να καθορίζει τις απαραίτητες τεχνικές και διοικητικές απαιτήσεις σχετικά με την πιστοποίηση του ΣΕΠ σε αναλογία προς τον εκτιμώμενο κίνδυνο, λαμβάνοντας υπόψη όλους τους συναφείς παράγοντες. Το πεδίο πιστοποίησης του ΣΕΠ συμφωνείται μεταξύ της αναθέτουσας αρχής και της οικείας ΕΑΑ/ΚΑΑ. |
ΠΑΡΑΡΤΗΜΑ A VI
ΑΝΤΑΛΛΑΓΗ ΔΙΑΒΑΘΜΙΣΜΕΝΩΝ ΠΛΗΡΟΦΟΡΙΩΝ ΜΕ ΤΡΙΤΑ ΚΡΑΤΗ ΚΑΙ ΔΙΕΘΝΕΙΣ ΟΡΓΑΝΙΣΜΟΥΣ
I. ΕΙΣΑΓΩΓΗ
|
1. |
Το παρόν παράρτημα περιέχει διατάξεις για την εφαρμογή του άρθρου 10 του παραρτήματος Α. |
II. ΠΛΑΙΣΙΑ ΠΟΥ ΔΙΕΠΟΥΝ ΤΗΝ ΑΝΤΑΛΛΑΓΗ ΔΙΑΒΑΘΜΙΣΜΕΝΩΝ ΠΛΗΡΟΦΟΡΙΩΝ
|
2. |
Η ΕΥΕΔ δύναται να ανταλλάσσει ΔΠΕΕ με τρίτα κράτη ή διεθνείς οργανισμούς σύμφωνα με το άρθρο 10 παράγραφος 1 του παραρτήματος Α.
Προκειμένου να υποστηρίζεται ο ύπατος εκπρόσωπος κατά την εκτέλεση των καθηκόντων που ορίζονται στο άρθρο 218 της ΣΛΕΕ:
|
|
3. |
Όταν οι συμφωνίες ασφάλειας πληροφοριών προβλέπουν τεχνικούς διακανονισμούς εφαρμογής που πρόκειται να συμφωνηθούν μεταξύ της Διεύθυνσης Ασφάλειας Έδρας και Ασφάλειας Πληροφοριών της ΕΥΕΔ και της αρμόδιας αρχής ασφάλειας του εν λόγω τρίτου κράτους ή διεθνούς οργανισμού, οι διακανονισμοί αυτοί λαμβάνουν δεόντως υπόψη το επίπεδο προστασίας που προβλέπουν οι κανονισμοί, οι δομές και οι διαδικασίες ασφάλειας που εφαρμόζονται στο εν λόγω τρίτο κράτος ή διεθνή οργανισμό. Η Διεύθυνση Ασφάλειας Έδρας και Ασφάλειας Πληροφοριών της ΕΥΕΔ συντονίζεται με τη Διεύθυνση Ασφάλειας της Γενικής Διεύθυνσης Ανθρωπίνων Πόρων και Ασφάλειας της Επιτροπής και με το Γραφείο Ασφάλειας της Γενικής Γραμματείας του Συμβουλίου όσον αφορά αυτούς τους διακανονισμούς. |
|
4. |
Όταν υφίσταται μακροπρόθεσμη ανάγκη να ανταλλάσσει η ΕΥΕΔ πληροφορίες με διαβάθμιση που, καταρχήν, δεν υπερβαίνει την κατηγορία RESTREINT UE/EU RESTRICTED με τρίτο κράτος ή διεθνή οργανισμό, και όπου έχει διαπιστωθεί ότι το εν λόγω μέρος δεν διαθέτει επαρκώς ανεπτυγμένο σύστημα ασφάλειας ώστε να συνάπτει συμφωνία ασφάλειας πληροφοριών, ο ύπατος εκπρόσωπος δύναται —αφού πρώτα λάβει την ομόφωνη ευνοϊκή γνώμη της Επιτροπής Ασφάλειας της ΕΥΕΔ σύμφωνα με το άρθρο 15 παράγραφος 5 της παρούσας απόφασης— να συνάπτει διοικητικό διακανονισμό με τις αρμόδιες αρχές ασφάλειας του εν λόγω τρίτου κράτους ή διεθνούς οργανισμού. |
|
5. |
Ηλεκτρονική ανταλλαγή ΔΠΕΕ με τρίτο κράτος ή διεθνή οργανισμό πραγματοποιείται μόνο εφόσον αυτό προβλέπεται ρητώς από τη συμφωνία ασφάλειας πληροφοριών ή τον διοικητικό διακανονισμό. |
|
6. |
Στο πλαίσιο διοικητικού διακανονισμού σχετικά με την ανταλλαγή διαβαθμισμένων πληροφοριών, η ΕΥΕΔ και το τρίτο κράτος ή ο διεθνής οργανισμός ορίζουν το καθένα μια γραμματεία ως το κύριο σημείο εισόδου και εξόδου για τις ανταλλαγές διαβαθμισμένων πληροφοριών. Για την ΕΥΕΔ, η γραμματεία αυτή θα είναι η κεντρική γραμματεία της ΕΥΕΔ. |
|
7. |
Οι διοικητικοί διακανονισμοί λαμβάνουν κατά κανόνα τη μορφή ανταλλαγής επιστολών. |
III. ΕΠΙΣΚΕΨΕΙΣ ΑΞΙΟΛΟΓΗΣΗΣ
|
8. |
Οι επισκέψεις αξιολόγησης που αναφέρονται στο άρθρο 17 της παρούσας απόφασης διεξάγονται μέσω αμοιβαίας συμφωνίας με το σχετικό τρίτο κράτος ή διεθνή οργανισμό και αξιολογούν:
|
|
9. |
Απαγορεύεται η ανταλλαγή ΔΠΕΕ πριν από τη διενέργεια επίσκεψης αξιολόγησης και τον προσδιορισμό του επιπέδου στο οποίο μπορεί να γίνεται η ανταλλαγή διαβαθμισμένων πληροφοριών μεταξύ των μερών, βάσει της ισοδυναμίας του επιπέδου προστασίας που θα παρασχεθεί στις εν λόγω πληροφορίες.
Εάν, εν αναμονή επίσκεψης αξιολόγησης, ο ύπατος εκπρόσωπος ενημερωθεί για τυχόν εξαιρετικούς ή έκτακτους λόγους που υπαγορεύουν την ανταλλαγή διαβαθμισμένων πληροφοριών, τότε η Αρχή Ασφάλειας της ΕΥΕΔ:
Εάν η ΕΥΕΔ δεν μπορεί να εξακριβώσει τον φορέα προέλευσης, τότε η Αρχή Ασφάλειας της ΕΥΕΔ αναλαμβάνει την ευθύνη του φορέα προέλευσης, αφού πρώτα λάβει την ομόφωνη ευνοϊκή γνώμη της Επιτροπής Ασφάλειας της ΕΥΕΔ. |
IV. ΑΡΜΟΔΙΟΤΗΤΑ ΚΟΙΝΟΠΟΙΗΣΗΣ ΔΠΕΕ ΣΕ ΤΡΙΤΑ ΚΡΑΤΗ Ή ΔΙΕΘΝΕΙΣ ΟΡΓΑΝΙΣΜΟΥΣ
|
10. |
Όταν υφίσταται πλαίσιο σύμφωνα με το άρθρο 10 παράγραφος 1 του παραρτήματος Α για την ανταλλαγή διαβαθμισμένων πληροφοριών με τρίτο κράτος ή διεθνή οργανισμό, η απόφαση κοινοποίησης ΔΠΕΕ από την ΕΥΕΔ σε τρίτο κράτος ή διεθνή οργανισμό λαμβάνεται από την Αρχή Ασφάλειας της ΕΥΕΔ. |
|
11. |
Εάν ο φορέας προέλευσης των διαβαθμισμένων πληροφοριών που πρόκειται να κοινοποιηθούν, συμπεριλαμβανομένων των φορέων προέλευσης του υλικού πηγής που ενδεχομένως να περιέχονται στις εν λόγω πληροφορίες, δεν είναι η ΕΥΕΔ, η Αρχή Ασφάλειας της ΕΥΕΔ ζητεί πρώτα τη γραπτή συγκατάθεση του φορέα προέλευσης προκειμένου να διασφαλιστεί ότι δεν υπάρχουν αντιρρήσεις για την κοινοποίησή τους. Εάν η ΕΥΕΔ δεν μπορεί να εξακριβώσει τον φορέα προέλευσης, τότε η Αρχή Ασφάλειας της ΕΥΕΔ αναλαμβάνει την ευθύνη του φορέα προέλευσης, αφού πρώτα λάβει την ομόφωνη ευνοϊκή γνώμη των κρατών μελών, όπως εκπροσωπούνται στην Επιτροπή Ασφάλειας της ΕΥΕΔ. |
V. ΕΚΤΑΚΤΗ AD HOC ΚΟΙΝΟΠΟΙΗΣΗ ΔΠΕΕ
|
12. |
Ελλείψει πλαισίου από τα αναφερόμενα στο άρθρο 10 παράγραφος 1 του παραρτήματος Α, και όταν τα συμφέροντα της ΕΕ ή ενός ή περισσότερων κρατών μελών της επιβάλλουν την κοινοποίηση ΔΠΕΕ για πολιτικούς, επιχειρησιακούς λόγους ή λόγους έκτακτης ανάγκης, οι ΔΠΕΕ μπορούν να κοινοποιηθούν κατ’ εξαίρεση σε τρίτο κράτος ή διεθνή οργανισμό μόλις αναληφθούν οι παρακάτω ενέργειες.
Αφού διασφαλίσει ότι πληρούνται οι προϋποθέσεις που αναφέρονται παραπάνω στην παράγραφο 11, η Αρχή Ασφάλειας της ΕΥΕΔ:
|
|
13. |
Ελλείψει πλαισίου από τα αναφερόμενα στο άρθρο 10 παράγραφος 1 του παραρτήματος Α, το εν λόγω τρίτο μέρος δεσμεύεται γραπτώς να προστατεύει δεόντως τις ΔΠΕΕ. |
Προσάρτημα Α
ΟΡΙΣΜΟΙ
Για τους σκοπούς της παρούσας απόφασης, ισχύουν οι ακόλουθοι ορισμοί:
|
α) |
«πιστοποίηση»: η διαδικασία που καταλήγει σε τυπική δήλωση της Αρχής Πιστοποίησης της Ασφάλειας (ΑΠΑ) ότι το δεδομένο σύστημα έχει λάβει έγκριση να λειτουργεί με καθορισμένο βαθμό διαβάθμισης, με συγκεκριμένο τρόπο ασφάλειας στο επιχειρησιακό του περιβάλλον και με αποδεκτό βαθμό κινδύνου, βάσει της παραδοχής ότι εφαρμόζεται εγκεκριμένο σύνολο τεχνικών, υλικών, οργανωτικών και διαδικαστικών μέτρων ασφάλειας; |
|
β) |
«στοιχείο»: οτιδήποτε έχει αξία για τον οργανισμό, τις επιχειρησιακές του δραστηριότητες και τη συνέχειά τους, περιλαμβανομένων των πληροφοριακών πόρων που υποστηρίζουν την αποστολή του οργανισμού; |
|
γ) |
«άδεια πρόσβασης σε ΔΠΕΕ»: άδεια που παρέχει η Αρχή Ασφάλειας της ΕΥΕΔ σύμφωνα με την παρούσα απόφαση, αφού εκδοθεί ΕΑΠ από τις αρμόδιες αρχές ενός κράτους μέλους, και η οποία πιστοποιεί ότι ένα πρόσωπο, υπό την προϋπόθεση ότι έχει εξακριβωθεί η «ανάγκη γνώσης» του, μπορεί να αποκτήσει πρόσβαση σε ΔΠΕΕ έως ένα συγκεκριμένο επίπεδο (CONFIDENTIEL UE/EU CONFIDENTIAL ή ανώτερο) μέχρι μια συγκεκριμένη ημερομηνία, σύμφωνα με το άρθρο 2 του παραρτήματος Α I; |
|
δ) |
«παραβίαση»: πράξη ή παράλειψη προσώπου η οποία αντίκειται στους κανόνες ασφάλειας που ορίζονται στην παρούσα απόφαση και/ή στις πολιτικές ή τις κατευθυντήριες γραμμές ασφάλειας που ορίζουν τυχόν μέτρα απαραίτητα για την εφαρμογή της; |
|
ε) |
«κύκλος ζωής ΣΕΠ»: η συνολική διάρκεια ύπαρξης ενός ΣΕΠ, που περιλαμβάνει τη δρομολόγηση, τη σύλληψη, τον προγραμματισμό, την ανάλυση απαιτήσεων, τον σχεδιασμό, την ανάπτυξη, τη δοκιμή, την εφαρμογή, τη λειτουργία, τη συντήρηση και τον παροπλισμό; |
|
στ) |
«διαβαθμισμένη σύμβαση εργολαβίας»: σύμβαση που συνάπτεται μεταξύ της ΕΥΕΔ και ενός εργολάβου για την προμήθεια αγαθών, την εκτέλεση έργων ή την παροχή υπηρεσιών και της οποίας η εκτέλεση απαιτεί ή περιλαμβάνει πρόσβαση σε ΔΠΕΕ ή δημιουργία ΔΠΕΕ; |
|
ζ) |
«διαβαθμισμένη σύμβαση υπεργολαβίας»: σύμβαση που συνάπτεται μεταξύ ενός εργολάβου της ΕΥΕΔ και ενός άλλου εργολάβου (ήτοι του υπεργολάβου) για την προμήθεια αγαθών, την εκτέλεση έργων ή την παροχή υπηρεσιών και της οποίας η εκτέλεση απαιτεί ή περιλαμβάνει πρόσβαση σε ΔΠΕΕ ή δημιουργία ΔΠΕΕ; |
|
η) |
«σύστημα επικοινωνίας και πληροφοριών» (ΣΕΠ): οποιοδήποτε σύστημα επιτρέπει τον χειρισμό πληροφοριών υπό ηλεκτρονική μορφή· ένα σύστημα επικοινωνίας και πληροφοριών περιλαμβάνει το σύνολο των στοιχείων που απαιτούνται για τη λειτουργία του, συμπεριλαμβανομένων της υποδομής, της οργάνωσης, του προσωπικού και των πληροφοριακών πόρων; |
|
θ) |
«διαρροή ΔΠΕΕ»: η ολική ή μερική κοινολόγηση ΔΠΕΕ σε μη εξουσιοδοτημένα πρόσωπα ή φορείς —βλ. άρθρο 9 παράγραφος 2; |
|
ι) |
«εργολάβος»: φυσικό ή νομικό πρόσωπο που έχει τη νομική ικανότητα ανάληψης συμβάσεων; |
|
ια) |
«κρυπτογραφικά προϊόντα»: οι κρυπτογραφικοί αλγόριθμοι, τα δομοστοιχεία κρυπτογραφικού υλισμικού και λογισμικού, καθώς και τα προϊόντα που περιέχουν λεπτομέρειες εφαρμογής και τη συναφές υλικό τεκμηρίωσης και κλειδοχρησίας; |
|
ιβ) |
«επιχείρηση ΚΠΑΑ»: στρατιωτική ή μη στρατιωτική επιχείρηση διαχείρισης κρίσεων σύμφωνα με τον τίτλο V κεφάλαιο 2 της Συνθήκης ΕΕ; |
|
ιγ) |
«αποχαρακτηρισμός»: η κατάργηση οποιασδήποτε διαβάθμισης ασφάλειας; |
|
ιδ) |
«άμυνα εις βάθος»: η εφαρμογή μιας σειράς μέτρων ασφάλειας, τα οποία οργανώνονται ως πολλαπλά επίπεδα άμυνας; |
|
ιε) |
«Καθορισμένη Αρχή Ασφάλειας» (ΚΑΑ): αρχή η οποία είναι υπόλογη στην Εθνική Αρχή Ασφάλειας (ΕΑΑ) κράτους μέλους και έχει καθήκον, αφενός, να ενημερώνει τους βιομηχανικούς και άλλους φορείς σχετικά με την εθνική πολιτική σε όλα τα θέματα βιομηχανικής ασφάλειας και, αφετέρου, να τους καθοδηγεί και να τους παρέχει συνδρομή κατά την εφαρμογή αυτής της εθνικής πολιτικής· τα καθήκοντα της ΚΑΑ μπορούν να εκτελούνται από την ΕΑΑ ή από οποιαδήποτε άλλη αρμόδια αρχή; |
|
ιστ) |
«έγγραφο»: κάθε καταγεγραμμένη πληροφορία ανεξαρτήτως υλικής μορφής ή χαρακτηριστικών; |
|
ιζ) |
«υποχαρακτηρισμός»: η μείωση του επιπέδου της διαβάθμισης ασφάλειας; |
|
ιη) |
«διαβαθμισμένες πληροφορίες ΕΕ» (ΔΠΕΕ): κάθε πληροφορία ή υλικό που έχει χαρακτηριστεί με διαβάθμιση ασφάλειας ΕΕ και των οποίων η άνευ αδείας κοινολόγηση μπορεί να βλάψει ποικιλοτρόπως τα συμφέροντα της Ευρωπαϊκής Ένωσης ή ενός ή περισσότερων κρατών μελών —βλ. άρθρο 2 στοιχείο στ); |
|
ιθ) |
«εξουσιοδότηση ασφάλειας φορέα» (ΕΑΦ): διοικητική απόφαση της ΕΑΑ ή της ΚΑΑ η οποία βεβαιώνει ότι, από πλευράς ασφάλειας, ο φορέας μπορεί να εξασφαλίσει επαρκές επίπεδο προστασίας ΔΠΕΕ ορισμένης διαβάθμισης ασφάλειας και ότι το προσωπικό του που χρειάζεται να έχει πρόσβαση σε ΔΠΕΕ έχει λάβει την προσήκουσα εξουσιοδότηση ασφάλειας και έχει ενημερωθεί για τις απαιτήσεις ασφάλειας που είναι αναγκαίες για την πρόσβαση σε ΔΠΕΕ και για την προστασία τους; |
|
κ) |
«χειρισμός» ΔΠΕΕ: όλες οι δυνατές ενέργειες στις οποίες είναι δυνατόν να υποβληθούν οι ΔΠΕΕ καθ’ όλη τη διάρκεια του κύκλου ζωής τους· περιλαμβάνει τη δημιουργία, την επεξεργασία, τη μεταφορά, τον υποχαρακτηρισμό, τον αποχαρακτηρισμό και την καταστροφή τους· σε σχέση με το ΣΕΠ περιλαμβάνει επίσης τη συλλογή, την προβολή, τη διαβίβαση και την αποθήκευσή τους; |
|
κα) |
«κάτοχος»: δεόντως εξουσιοδοτημένο πρόσωπο με προσδιορισμένη ανάγκη γνώσης το οποίο κατέχει ένα στοιχείο ΔΠΕΕ και είναι αντιστοίχως υπεύθυνο για την προστασία του; |
|
κβ) |
«βιομηχανικός ή άλλος φορέας»: φορέας που ασχολείται με την προμήθεια αγαθών, την εκτέλεση έργων ή την παροχή υπηρεσιών· o ορισμός αυτός αφορά βιομηχανικούς, εμπορικούς, επιστημονικούς, ερευνητικούς, εκπαιδευτικούς ή αναπτυξιακούς φορείς, φορείς παροχής υπηρεσιών ή αυτοαπασχολούμενους; |
|
κγ) |
«βιομηχανική ασφάλεια»: η εφαρμογή μέτρων διασφάλισης της προστασίας των ΔΠΕΕ από τους εργολάβους ή τους υπεργολάβους κατά τις προσυμβατικές διαπραγματεύσεις και καθ’ όλη τη διάρκεια του κύκλου ζωής των διαβαθμισμένων συμβάσεων εργολαβίας —βλ. άρθρο 9 παράγραφος 1 του παραρτήματος Α; |
|
κδ) |
«διασφάλιση των πληροφοριών» στον τομέα των συστημάτων επικοινωνίας και πληροφοριών: η βεβαιότητα ότι τα συστήματα αυτά θα προστατεύουν τις πληροφορίες που χειρίζονται και θα λειτουργούν όπως και όταν χρειάζεται υπό τον έλεγχο νόμιμων χρηστών· η αποτελεσματική ΔΠ διασφαλίζει κατάλληλα επίπεδα εμπιστευτικότητας, ακεραιότητας, διαθεσιμότητας, μη άρνησης αναγνώρισης και γνησιότητας· η ΔΠ βασίζεται σε διαδικασία διαχείρισης κινδύνων —βλ. άρθρο 8 παράγραφος 1 του παραρτήματος Α; |
|
κε) |
«διασύνδεση»: για τους σκοπούς της παρούσας απόφασης, η άμεση σύνδεση μονής ή πολλαπλής κατεύθυνσης δύο ή περισσότερων συστημάτων ΤΠ για την ανταλλαγή δεδομένων και άλλων πληροφοριακών πόρων (π.χ. επικοινωνία) —βλ. παράρτημα A IV παράγραφος 31; |
|
κστ) |
«διαχείριση των διαβαθμισμένων πληροφοριών»: η εφαρμογή διοικητικών μέτρων για τον έλεγχο των ΔΠΕΕ καθ’ όλη τη διάρκεια του κύκλου ζωής τους με στόχο τη συμπλήρωση των μέτρων που προβλέπουν τα άρθρα 5, 6 και 8 και την κατ’ αυτόν τον τρόπο συμβολή στην αποτροπή και ανίχνευση εσκεμμένων ή τυχαίων διαρροών ή απωλειών των εν λόγω πληροφοριών, καθώς και στην αποκατάσταση έπειτα από τέτοια περιστατικά· τα εν λόγω μέτρα αφορούν ειδικότερα τη δημιουργία, την καταχώριση, την αντιγραφή, τη μετάφραση, τη μεταφορά, τον χειρισμό, την αποθήκευση και την καταστροφή ΔΠΕΕ —βλ. άρθρο 7 παράγραφος 1 του παραρτήματος Α; |
|
κζ) |
«υλικό»: κάθε έγγραφο ή στοιχείο μηχανημάτων ή εξοπλισμού που έχει ήδη κατασκευαστεί ή βρίσκεται υπό κατασκευή; |
|
κη) |
«φορέας προέλευσης»: θεσμικό ή άλλο όργανο και οργανισμός της ΕΕ, κράτος μέλος, τρίτο κράτος ή διεθνής οργανισμός υπό την εξουσία του οποίου έχουν δημιουργηθεί και/ή εισαχθεί στις δομές της ΕΕ διαβαθμισμένες πληροφορίες; |
|
κθ) |
«ασφάλεια προσωπικού»: η εφαρμογή μέτρων προκειμένου να εξασφαλίζεται ότι πρόσβαση στις ΔΠΕΕ επιτρέπεται μόνο στα πρόσωπα τα οποία:
σύμφωνα με το άρθρο 5 παράγραφος 1 του παραρτήματος Α· |
|
λ) |
«εξουσιοδότηση ασφάλειας προσωπικού» (ΕΑΠ): για την πρόσβαση σε ΔΠΕΕ, δήλωση της αρμόδιας αρχής ενός κράτους μέλους που διατυπώνεται μετά την ολοκλήρωση έρευνας ασφάλειας που διενεργείται από τις αρμόδιες αρχές του κράτους μέλους και πιστοποιεί ότι ένα πρόσωπο μπορεί, εφόσον έχει διαπιστωθεί η «ανάγκη γνώσης» του, να αποκτήσει πρόσβαση σε ΔΠΕΕ έως ένα συγκεκριμένο επίπεδο (CONFIDENTIEL UE/EU CONFIDENTIAL ή ανώτερο) μέχρι μια συγκεκριμένη ημερομηνία· το εν λόγω πρόσωπο θεωρείται, κατά τον τρόπο αυτόν, ότι έχει λάβει «εξουσιοδότηση ασφάλειας»· |
|
λα) |
«πιστοποιητικό εξουσιοδότησης ασφάλειας προσωπικού» (ΠΕΑΠ): πιστοποιητικό που εκδίδει αρμόδια αρχή και με το οποίο πιστοποιείται ότι συγκεκριμένο άτομο έχει λάβει εξουσιοδότηση ασφάλειας και διαθέτει έγκυρη ΕΑΠ ή άδεια από τον Διευθυντή Ασφάλειας Έδρας και Ασφάλειας Πληροφοριών της ΕΥΕΔ για πρόσβαση σε ΔΠΕΕ και στο οποίο αναφέρονται το επίπεδο των ΔΠΕΕ στις οποίες μπορεί να έχει πρόσβαση (CONFIDENTIEL UE/EU CONFIDENTIAL ή ανώτερο), η ημερομηνία ισχύος της σχετικής ΕΑΠ και η ημερομηνία λήξης του ίδιου του πιστοποιητικού· |
|
λβ) |
«υλική ασφάλεια»: η εφαρμογή υλικών και τεχνικών μέτρων προστασίας για την αποτροπή της μη εξουσιοδοτημένης πρόσβασης σε ΔΠΕΕ —βλ. άρθρο 6 του παραρτήματος Α· |
|
λγ) |
«εντολές ασφάλειας προγράμματος/έργου» (ΕΑΠΕ): κατάλογος διαδικασιών ασφάλειας που εφαρμόζονται με συγκεκριμένο πρόγραμμα/έργο με σκοπό την τυποποίησή τους· μπορούν να αναθεωρούνται καθ’ όλη τη διάρκεια του προγράμματος/έργου· |
|
λδ) |
«καταχώριση»: η εφαρμογή διαδικασιών που επιτρέπουν την καταγραφή του κύκλου ζωής των πληροφοριών, περιλαμβανομένης της διάδοσης και της καταστροφής τους —βλ. παράρτημα Α III παράγραφος 21· |
|
λε) |
«υπολειπόμενος κίνδυνος»: ο κίνδυνος που εξακολουθεί να υφίσταται και μετά την εφαρμογή των μέτρων ασφάλειας, δεδομένου ότι δεν είναι δυνατόν να αντιμετωπισθούν όλες οι απειλές και να εξαλειφθούν όλα τα τρωτά σημεία· |
|
λστ) |
«κίνδυνος»: η πιθανότητα μια δεδομένη απειλή να εκμεταλλευθεί εσωτερικά και εξωτερικά τρωτά σημεία ενός οργανισμού ή των συστημάτων που χρησιμοποιεί και να προκαλέσει βλάβη στον οργανισμό και στα υλικά ή άυλα στοιχεία του· μετράται ως ο συνδυασμός της πιθανότητας επέλευσης των απειλών και των συνεπειών τους· |
|
λζ) |
«αποδοχή κινδύνου»: η απόφαση με την οποία συμφωνείται ότι συνεχίζει να υφίσταται υπολειπόμενος κίνδυνος μετά την αντιμετώπιση κινδύνου· |
|
λη) |
«αξιολόγηση κινδύνου»: ο εντοπισμός απειλών και τρωτών σημείων και η διεξαγωγή σχετικής ανάλυσης κινδύνου, δηλ. ανάλυσης της πιθανότητας και των συνεπειών· |
|
λθ) |
«κοινοποίηση κινδύνου»: η ευαισθητοποίηση ως προς τους κινδύνους μεταξύ των κοινοτήτων των χρηστών ΣΕΠ, η ενημέρωση των αρχών έγκρισης ως προς τους κινδύνους αυτούς και η υποβολή σχετικών εκθέσεων στις επιχειρησιακές αρχές· |
|
μ) |
«διαδικασία διαχείρισης κινδύνων»: το σύνολο της διαδικασίας εντοπισμού, ελέγχου και ελαχιστοποίησης αβέβαιων γεγονότων που μπορούν να επηρεάσουν την ασφάλεια οργανισμού ή οποιουδήποτε συστήματος χρησιμοποιεί ο εν λόγω οργανισμός· καλύπτει το σύνολο των δραστηριοτήτων σχετικά με τους κινδύνους, συμπεριλαμβανομένων της αξιολόγησης, της αντιμετώπισης, της αποδοχής και της κοινοποίησης· |
|
μα) |
«αντιμετώπιση κινδύνου»: η άμβλυνση, άρση ή μείωση του κινδύνου (μέσω κατάλληλου συνδυασμού τεχνικών, υλικών, οργανωτικών ή διαδικαστικών μέτρων), μεταφορά ή παρακολούθηση του κινδύνου· |
|
μβ) |
«έγγραφο θεμάτων ασφάλειας» (ΕΘΑ): ένα σύνολο ειδικών συμβατικών όρων που εκδίδει η αναθέτουσα αρχή, αποτελεί αναπόσπαστο μέρος διαβαθμισμένης σύμβασης εργολαβίας που συνεπάγεται πρόσβαση σε ΔΠΕΕ ή δημιουργία ΔΠΕΕ και καθορίζει τις απαιτήσεις ασφάλειας ή τα στοιχεία της σύμβασης που χρήζουν προστασίας —βλ. παράρτημα Α V τμήμα II· |
|
μγ) |
«οδηγός διαβαθμίσεων ασφάλειας» (ΟΔΑ): έγγραφο στο οποίο περιγράφονται τα στοιχεία προγράμματος ή σύμβασης που είναι διαβαθμισμένα και καθορίζεται η εφαρμοστέα διαβάθμιση ασφάλειας· ο ΟΔΑ μπορεί να επεκτείνεται καθ’ όλη τη διάρκεια του προγράμματος ή της σύμβασης και τα πληροφοριακά στοιχεία μπορούν να διαβαθμίζονται εκ νέου ή να υποχαρακτηρίζονται· ο ΟΔΑ, όταν υφίσταται, αποτελεί τμήμα του ΕΘΑ —βλ. παράρτημα A V τμήμα II· |
|
μδ) |
«έρευνα ασφάλειας»: οι διαδικασίες έρευνας που διενεργούνται από την αρμόδια εθνική αρχή κράτους μέλους σύμφωνα με τις εθνικές νομοθετικές και κανονιστικές διατάξεις που ισχύουν στο εν λόγω κράτος μέλος για την παροχή διαβεβαίωσης ότι δεν είναι γνωστό τίποτε αρνητικό που να εμποδίζει τη χορήγηση στο εν λόγω πρόσωπο εθνικής ή ενωσιακής ΕΑΠ για πρόσβαση σε ΔΠΕΕ μέχρι ενός συγκεκριμένου επιπέδου (CONFIDENTIEL UE/EU CONFIDENTIAL ή ανώτερου)· |
|
με) |
«λειτουργικές διαδικασίες ασφάλειας» (ΛΔΑ): περιγραφή της πολιτικής ασφάλειας που πρέπει να εφαρμόζεται, των λειτουργικών διαδικασιών που πρέπει να ακολουθούνται και των ευθυνών του προσωπικού· |
|
μστ) |
«ευαίσθητες μη διαβαθμισμένες πληροφορίες»: πληροφορίες ή υλικό που η ΕΥΕΔ οφείλει να προστατεύει λόγω νομικών υποχρεώσεων που προβλέπονται στις Συνθήκες ή σε πράξεις που έχουν εκδοθεί κατ’ εφαρμογήν αυτών, και/ή λόγω του ευαίσθητου χαρακτήρα τους· στις ευαίσθητες μη διαβαθμισμένες πληροφορίες περιλαμβάνονται, μεταξύ άλλων, υλικό ή πληροφορίες που καλύπτονται από την υποχρέωση επαγγελματικού απορρήτου, όπως αναφέρεται στο άρθρο 339 της ΣΛΕΕ, πληροφορίες που καλύπτονται από τα συμφέροντα τα οποία προστατεύονται βάσει του άρθρου 4 του κανονισμού (ΕΚ) αριθ. 1049/2001 (1) σε συνδυασμό με τη συναφή νομολογία του Δικαστηρίου της Ευρωπαϊκής Ένωσης ή δεδομένα προσωπικού χαρακτήρα που εμπίπτουν στο πεδίο εφαρμογής του κανονισμού (ΕΕ) 2018/1725. |
|
μζ) |
«δήλωση ειδικών απαιτήσεων ασφάλειας» (ΔΕΑΑ): δεσμευτικό σύνολο αρχών ασφάλειας που πρέπει να τηρούνται και λεπτομερών απαιτήσεων ασφάλειας που πρέπει να εφαρμόζονται, στο οποίο στηρίζεται η διαδικασία πιστοποίησης του ΣΕΠ· |
|
μη) |
«TEMPEST»: η έρευνα, η μελέτη και ο έλεγχος του κινδύνου διαρροής μέσω ηλεκτρομαγνητικών εκπομπών και τα μέτρα εξάλειψης των εκπομπών αυτών· |
|
μθ) |
«απειλή»: πιθανή αιτία ανεπιθύμητου συμβάντος που μπορεί να ζημιώσει έναν οργανισμό ή οποιοδήποτε σύστημα χρησιμοποιεί ο εν λόγω οργανισμός· οι απειλές μπορεί να είναι τυχαίες ή εσκεμμένες (κακόβουλες) και χαρακτηρίζονται από απειλητικά στοιχεία, πιθανούς στόχους και μεθόδους επίθεσης· |
|
ν) |
«τρωτό σημείο»: οποιαδήποτε αδυναμία που μπορούν να εκμεταλλευθούν μία ή περισσότερες απειλές· το τρωτό σημείο μπορεί να οφείλεται σε παράλειψη ή να απορρέει από αδυναμία των ελέγχων όσον αφορά την αυστηρότητα, την πληρότητα ή τη συνοχή τους, μπορεί δε να είναι τεχνικής, διαδικαστικής, υλικής, οργανωτικής ή επιχειρησιακής φύσης. |
(1) Κανονισμός (ΕΚ) αριθ. 1049/2001 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 30ής Μαΐου 2001, για την πρόσβαση του κοινού στα έγγραφα του Ευρωπαϊκού Κοινοβουλίου, του Συμβουλίου και της Επιτροπής (ΕΕ L 145 της 31.5.2001, σ. 43).
Προσάρτημα Β
Ισοδυναμία των διαβαθμίσεων ασφάλειας
|
ΕΕ |
TRES SECRET UE/EU TOP SECRET |
SECRET UE/EU SECRET |
CONFIDENTIEL UE/EU CONFIDENTIAL |
RESTREINT UE/EU RESTRICTED |
|
ΕΥΡΑΤΟΜ |
EURA TOP SECRET |
EURA SECRET |
EURA CONFIDENTIAL |
EURA RESTRICTED |
|
Βέλγιο |
Très Secret (Loi 11.12.1998) Zeer Geheim (Wet 11.12.1998) |
Secret (Loi 11.12.1998) Geheim (Wet 11.12.1998) |
Confidentiel (Loi 11.12.1998) Vertrouwelijk (Wet 11.12.1998) |
Βλέπε (1) κατωτέρω |
|
Βουλγαρία |
Cтpoгo ceкретно |
Ceкретно |
Поверително |
За служебно ползване |
|
Τσεχική Δημοκρατία |
Přísně tajné |
Tajné |
Důvěrné |
Vyhrazené |
|
Δανία |
YDERST HEMMELIGT |
HEMMELIGT |
FORTROLIGT |
TIL TJENESTEBRUG |
|
Γερμανία |
STRENG GEHEIM |
GEHEIM |
VS (2) — VERTRAULICH |
VS — NUR FÜR DEN DIENSTGEBRAUCH |
|
Εσθονία |
Täiesti salajane |
Salajane |
Konfidentsiaalne |
Piiratud |
|
Ιρλανδία |
Top Secret |
Secret |
Confidential |
Restricted |
|
Ελλάδα |
Άκρως Απόρρητο Συντ: ΑΑΠ |
Απόρρητο Συντ: (ΑΠ) |
Εμπιστευτικό Συντ.: (ΕΜ) |
Περιορισμένης Χρήσης Συντ: (ΠΧ) |
|
Ισπανία |
SECRETO |
RESERVADO |
CONFIDENCIAL |
DIFUSION LIMITADA |
|
Γαλλία |
TRÈS SECRET TRÈS SECRET DÉFENSE (3) |
SECRET SECRET DÉFENSE (3) |
Βλέπε (5) κατωτέρω |
|
|
Κροατία |
VRLO TAJNO |
TAJNO |
POVJERLJIVO |
OGRANIČENO |
|
Ιταλία |
Segretissimo |
Segreto |
Riservatissimo |
Riservato |
|
Κύπρος |
Άκρως Απόρρητο Συντ.: (AΑΠ) |
Απόρρητο Συντ.: (ΑΠ) |
Εμπιστευτικό Συντ.: (ΕΜ) |
Περιορισμένης Χρήσης Συντ.: (ΠΧ) |
|
Λετονία |
Sevišķi slepeni |
Slepeni |
Konfidenciāli |
Dienesta vajadzībām |
|
Λιθουανία |
Visiškai slaptai |
Slaptai |
Konfidencialiai |
Riboto naudojimo |
|
Λουξεμβούργο |
Très Secret Lux |
Secret Lux |
Confidentiel Lux |
Restreint Lux |
|
Ουγγαρία |
«Szigorúan titkos!» |
«Titkos!» |
«Bizalmas!» |
«Korlátozott terjesztésű!» |
|
Μάλτα |
L-Ogħla Segretezza Top Secret |
Sigriet Secret |
Kunfidenzjali Confidential |
Ristrett Restricted (6) |
|
Κάτω Χώρες |
Stg. ZEER GEHEIM |
Stg. GEHEIM |
Stg. CONFIDENTIEEL |
Dep. VERTROUWELIJK |
|
Αυστρία |
Streng Geheim |
Geheim |
Vertraulich |
Eingeschränkt |
|
Πολωνία |
Ściśle Tajne |
Tajne |
Poufne |
Zastrzeżone |
|
Πορτογαλία |
Muito Secreto |
Secreto |
Confidencial |
Reservado |
|
Ρουμανία |
Strict secret de importanță deosebită |
Strict secret |
Secret |
Secret de serviciu |
|
Σλοβενία |
STROGO TAJNO |
TAJNO |
ZAUPNO |
INTERNO |
|
Σλοβακία |
Prísne tajné |
Tajné |
Dôverné |
Vyhradené |
|
Φινλανδία |
ERITTÄIN SALAINEN YTTERST HEMLIG |
SALAINEN HEMLIG |
LUOTTAMUKSELLINEN KONFIDENTIELL |
KÄYTTÖ RAJOITETTU BEGRÄNSAD TILLGÅNG |
|
Σουηδία |
Kvaliciferat hemlig |
Hemlig |
Konfidentiell |
Begränsat hemlig |
(1) Η «Diffusion Restreinte/Beperkte Verspreiding» δεν αποτελεί διαβάθμιση ασφάλειας στο Βέλγιο. Το Βέλγιο χειρίζεται και προστατεύει τις πληροφορίες «RESTREINT UE/EU RESTRICTED» κατά τρόπο εξίσου αυστηρό με τα πρότυπα και τις διαδικασίες που περιγράφονται στους κανόνες ασφάλειας του Συμβουλίου της Ευρωπαϊκής Ένωσης.
(2) Γερμανία: VS = Verschlusssache.
(3) Οι πληροφορίες που παρήχθησαν από τη Γαλλία πριν από την 1η Ιουλίου 2021 και φέρουν διαβάθμιση «TRÈS SECRET DÉFENSE», «SECRET DÉFENSE» και «CONFIDENTIEL DÉFENSE» εξακολουθούν να αποτελούν αντικείμενο χειρισμού και προστασίας στο ισοδύναμο επίπεδο των «TRES SECRET UE/EU TOP SECRET», «SECRET UE/EU SECRET» και «CONFIDENTIEL UE/EU CONFIDENTIAL» αντίστοιχα.
(4) Η Γαλλία χειρίζεται και προστατεύει τις πληροφορίες «CONFIDENTIEL UE/EU CONFIDENTIAL» σύμφωνα με τα μέτρα ασφάλειας της Γαλλίας για την προστασία πληροφοριών «SECRET».
(5) Η Γαλλία δεν χρησιμοποιεί την κατηγορία διαβάθμισης «RESTREINT» στο εθνικό της σύστημα. Η Γαλλία χειρίζεται και προστατεύει τις πληροφορίες «RESTREINT UE/EU RESTRICTED» κατά τρόπο εξίσου αυστηρό με τα πρότυπα και τις διαδικασίες που περιγράφονται στους κανόνες ασφάλειας του Συμβουλίου της Ευρωπαϊκής Ένωσης.
(6) Για τη Μάλτα, οι σημάνσεις στα μαλτέζικα και στα αγγλικά μπορούν να χρησιμοποιούνται αδιακρίτως.