Este documento es un instrumento de documentación y no compromete la responsabilidad de las instituciones

Las disposiciones de la Comisión en materia de seguridad, cuyo texto figura en el anexo de la presente Decisión, se añaden al Reglamento interno de la Comisión como anexo.

La presente Decisión entrará en vigor el día de su publicación en el Diario Oficial de las Comunidades Europeas.

1. El miembro de la Comisión encargado de los asuntos de seguridad adoptará las medidas adecuadas para garantizar que, al tratarse información clasificada de la UE, se cumplan en la Comisión las normas a que se refiere el artículo 1 por parte de los funcionarios y otros agentes de la Comisión, del personal enviado a la Comisión en comisión de servicio, y en todos los locales de la Comisión, incluidas sus Representaciones y Oficinas en la Unión y sus Delegaciones en terceros países, así como por parte de los contratistas externos a la Comisión.

Cuando un contrato o un acuerdo de subvención entre la Comisión y un contratista externo o un beneficiario implique el tratamiento de información clasificada de la UE en los locales del contratista o del beneficiario, las medidas apropiadas que deberá tomar dicho contratista externo o beneficiario para garantizar que se cumplan las normas mencionadas en el artículo 1, al tratar información clasificada de la UE, formarán parte integrante del acuerdo o contrato de subvención.

2. Los Estados miembros, las demás instituciones, órganos, oficinas y agencias establecidos en virtud o sobre la base de los Tratados estarán autorizados para recibir información clasificada de la UE siempre y cuando garanticen que, cuando se trate este tipo de información, se cumplan en sus servicios y locales normas estrictamente equivalentes a las normas a que se refiere el artículo 1, en particular por parte de:

Los países terceros, las organizaciones internacionales y demás órganos estarán autorizados pararecibirinformación clasificada de la UE siempre y cuando garanticen que, cuando se trate este tipo de información, se cumplan normas estrictamente equivalentes a las normas a que se refiere el artículo 1.

De conformidad con los principios básicos y las normas mínimas de seguridad recogidos en la Parte I del anexo, el miembro de la Comisión encargado de los asuntos de seguridad podrá adoptar medidas con arreglo a lo dispuesto en la Parte II del anexo.

Las presentes disposiciones sustituirán, a partir de la fecha de su aplicación, a las siguientes:

A partir de la fecha de aplicación de las presentes disposiciones, toda la información clasificada en poder de la Comisión hasta esa fecha, a excepción de la información clasificada de Euratom:

Las presentes disposiciones establecen los principios básicos y las normas mínimas de seguridad que deberán respetar de manera adecuada la Comisión, en todos sus lugares de trabajo, y todos los destinatarios de información clasificada de la UE, a fin de salvaguardar la seguridad y garantizar a cada uno el establecimiento de una norma común de protección.

La política de seguridad de la Comisión forma parte integrante de su política general de gestión interna y está basada por lo tanto en los principios que regulan su política general.

Se trata de los principios de legalidad, transparencia, responsabilidad y subsidiariedad (proporcionalidad).

La legalidad indica la necesidad de permanecer estrictamente en el marco jurídico a la hora de ejecutar las funciones de seguridad y la necesidad de ajustarse a los requisitos jurídicos. Significa también que las responsabilidades en materia de seguridad deben basarse en las disposiciones legales adecuadas. Son plenamente aplicables las disposiciones del Estatuto y, especialmente, su artículo 17 relativo a la obligación del personal de observar discreción en relación con la información de la Comisión y su Título VI sobre el régimen disciplinario. Significa por último que las infracciones a la seguridad que son responsabilidad de la Comisión deben tratarse de forma coherente con la política de la Comisión sobre medidas disciplinarias y su política de cooperación con los Estados miembros en materia de justicia penal.

La transparencia indica la necesidad de claridad por lo que respecta a todas las normas y disposiciones relativas a la seguridad, de cierto equilibrio entre los distintos servicios y los diferentes sectores (seguridad física frente a protección de la información, etc.) y de una política coherente y estructurada de sensibilización a la seguridad. También establece la necesidad de unas directrices claras por escrito, relativas a la aplicación de las medidas de seguridad.

La responsabilidad significa que se definirán claramente las responsabilidades en el ámbito de la seguridad. Indica además la necesidad de proceder a pruebas periódicas a fin de comprobar si se asumen correctamente dichas responsabilidades.

La subsidiariedad, o proporcionalidad, significa que la seguridad se organizará al nivel más bajo posible y más próximo posible de las Direcciones Generales y los servicios de la Comisión. También indica que las actividades relacionadas con la seguridad se limitarán exclusivamente a aquellos elementos que la necesiten realmente. Significa por último que las medidas de seguridad serán proporcionales a los intereses que sea preciso proteger y a los riesgos reales o potenciales en torno a esos intereses, permitiendo una defensa que cause el mínimo trastorno posible.

La Comisión garantizará la observancia de normas mínimas comunes de seguridad por parte de todos los destinatarios de información clasificada de la UE dentro de la institución y bajo su competencia, porejemplo los servicios y contratistas, de tal modo que exista la certeza, al comunicarse la información clasificada de la UE, de que vaya a ser tratada con igual cautela. Estas normas mínimas incluirán los criterios relativos a la habilitación del personal y los procedimientos referentes a la protección de la información clasificada de la UE.

La Comisión sólo autorizará el acceso a la información clasificada de la UE a órganos externos si éstos garantizan que, al tratarse este tipo de información, se cumplan disposiciones al menos estrictamente equivalentes a las presentes normas mínimas.

También se aplicarán dichas normas mínimas cuando la Comisión confíe por contrato o por acuerdo de subvención, tareas que impliquen, conlleven y/o contengan información clasificada de la UE sobre entidades industriales o de otra índole: estas normas mínimas comunes figuran en la parte II, sección 27.

Todas las personas que necesiten acceder a la información clasificada ►M1 CONFIDENTIEL UE ◄ o de nivel superior deberán someterse al debido proceso de habilitación antes de que se les autorice dicho acceso. Una habilitación similar será necesaria en el caso de las personas cuyas obligaciones impliquen la manipulación técnica o el mantenimiento de sistemas de comunicación e información que contengan información clasificada. La habilitación tendrá por objeto determinar si dichas personas:

En los procedimientos de habilitación deberá investigarse con especial atención a las personas:

En las circunstancias expuestas en las letras d), e) y f), se utilizarán al máximo las técnicas de investigación de antecedentes.

Cuando haya que recurrir a personas que carezcan de una «necesidad de conocer» determinada, en circunstancias en las que puedan acceder a información clasificada de la UE (por ejemplo, mensajeros, agentes de seguridad, personal de mantenimiento y limpieza, etc.), dichas personas se someterán previamente al debido procedimiento de habilitación de seguridad.

Todos los servicios de la Comisión que traten información clasificada de la UE o cuenten con sistemas de comunicación e información de seguridad llevarán un registro de las habilitaciones concedidas al personal que tengan asignado. Cada habilitación deberá comprobarse, en función de las circunstancias, con objeto de garantizar que resulte adecuada a la asignación de la persona en cuestión en ese momento; la habilitación deberá examinarse de nuevo con carácter prioritario siempre que se reciba nueva información indicativa de que el mantenimiento de la asignación de una persona a tareas que implican la utilización de información clasificada ha dejado de ser compatible con los intereses en materia de seguridad. El responsable local de seguridad del servicio de la Comisión llevará un registro de las habilitaciones en el sector que le corresponda.

Todo el personal que trabaje en puestos en los que pueda tener acceso a información clasificada recibirá, en el momento de asumir sus funciones y a intervalos periódicos, instrucciones completas sobre las necesidades en materia de seguridad y los procedimientos aplicables a tal efecto. Deberá exigirse a este personal que certifique por escrito que ha leído y comprendido perfectamente las presentes disposiciones en materia de seguridad.

Los directivos tendrán la obligación de saber quiénes son los miembros de su personal que trabajan con información clasificada o tienen acceso a sistemas de comunicación e información de seguridad, así como la obligación de registrar y comunicar cuantos incidentes o aparentes muestras de vulnerabilidad puedan afectar a la seguridad.

Deberán establecerse los procedimientos necesarios para garantizar que, cuando se den a conocer informaciones negativas en relación con una persona determinada, se determine si ésta trabaja con información clasificada o tiene acceso a sistemas de comunicación o información de seguridad y se informe a la ►M2 Dirección de Seguridad de la Comisión ◄ . En caso de que se determine que representa un riesgo para la seguridad, dicha persona será excluida o cesada en las funciones en que pueda poner en peligro la seguridad.

El grado de las medidas de seguridad física que vayan a aplicarse para garantizar la protección de la información clasificada de la UE deberá ser proporcional al nivel de clasificación y al volumen de la información y del material de que se trate, así como a los riesgos a que se expongan dicha información y material. Todas las personas que estén en posesión de información clasificada de la UE deberán aplicar prácticas uniformes por lo que respecta a la clasificación de dicha información y cumplir normas comunes de protección en relación con la custodia, transmisión y eliminación de la información y del material que requieran protección.

Antes de abandonar sin vigilancia los lugares en que se encuentre información clasificada de la UE, las personas responsables de la custodia de la misma se cerciorarán de que dicha información quede almacenada de manera segura y todos los dispositivos de seguridad hayan sido activados (cerraduras, alarmas, etc.). Deberán llevarse a cabo controles independientes adicionales después de las horas de trabajo.

Los edificios en que se encuentren información clasificada de la UE o sistemas de comunicación e información de seguridad deberán estar protegidos contra el acceso no autorizado. El tipo de protección proporcionado a la información clasificada de la UE, por ejemplo, bloqueo de ventanas, cerraduras en las puertas, guardias en las entradas, sistemas automatizados de control de acceso, controles y patrullas de seguridad, sistemas de alarma, sistemas de detección de intrusos y perros de vigilancia, dependerá de:

El tipo de protección proporcionado a los sistemas de comunicación e información dependerá asimismo de la evaluación del valor de lo que esté en juego y de los posibles daños que sederivarían en caso de peligrar la seguridad, así como de la naturaleza física y de la ubicación del edificio en que se encuentre el sistema, y de la ubicación del sistema dentro del edificio.

Deberán elaborarse con antelación planes detallados para la protección de la información clasificada en caso de plantearse una situación de emergencia a escala local o nacional.

La seguridad de la información (INFOSEC) se refiere a la determinación y aplicación de medidas de seguridad para proteger la información procesada, almacenada o transmitida a través de sistemas de comunicación e información y otros sistemas electrónicos frente a la pérdida de confidencialidad, integridad o disponibilidad de la misma, ya sea accidental o intencionada. Deberán adoptarse medidas adecuadas para impedir el acceso de usuarios no autorizados a la información clasificada de la UE, impedir la denegación de acceso a este tipo de información a usuarios autorizados y la alteración, la modificación o la destrucción no autorizadas de este tipo de información.

Las precauciones físicas para la protección de instalaciones importantes en las que se encuentre información clasificada constituyen las mejores garantías de seguridad para proteger dicha información contra el sabotaje y los daños intencionados, sin que la mera habilitación del personal pueda sustituirlas de manera eficaz. Se solicitará al órgano nacional competente que facilite información confidencial relativa al espionaje, el sabotaje, el terrorismo y otras actividades subversivas.

10. DIFUSIÓN DE INFORMACIÓN CLASIFICADA A TERCEROS PAÍSES Y ORGANIZACIONES INTERNACIONALES

Corresponderá a laComisión adoptar de forma colegiada la decisión de difundir a un país tercero u organización internacional información clasificada de la UE procedente de la Comisión. En caso de que el autor de la información que vaya a difundirse no sea la Comisión, ésta deberá recabar el consentimiento del autor de la información antes de difundirla. En caso de que no sea posible determinar el autor, la Comisión asumirá la responsabilidad del mismo.

En caso de que la Comisión reciba información clasificada procedente de terceros países, organizaciones internacionales o terceras partes, se dará a dicha información la protección adecuada a su clasificación, equivalente a las normas establecidas en las presentes disposiciones para la información clasificada de la UE o a las normas más elevadas exigidas por las terceras partes que difundan la información. Podrán disponerse controles recíprocos.

Los principios anteriormente expuestos se aplicarán con arreglo a las disposiciones establecidas en los apéndices 3, 4 y 5 de la sección 26 de la Parte II.

En particular, corresponderá al miembro de la Comisión encargado de la seguridad:

Se creará un Grupo consultivo sobre política de seguridad, que estará compuesto por el miembro de la Comisión encargado de la seguridad o su delegado, que será su presidente, y por representantes de las ANS de cada Estado miembro. También podrá invitarse a representantes de otras instituciones europeas e, igualmente, podrá invitarse a representantes de los organismos descentralizados de la UE cuando se debatan cuestiones que les afecten.

El Grupo consultivo sobre política de seguridad se reunirá a instancias de su presidente o de cualquiera de sus miembros. Su cometido será examinar y evaluar todas las cuestiones de seguridad pertinentes y presentar a la Comisión las recomendaciones que procedan.

Se creará un Comité de Seguridad de la Comisión compuesto por el Director General de Administración y Personal, que ejercerá la presidencia, y por un miembro del Gabinete del Comisario encargado de la seguridad, un miembro del Gabinete del Presidente, el Secretario General adjunto que presida el grupo de gestión de crisis de la Comisión y los Directores Generales del Servicio Jurídico, de Relaciones Exteriores, de Justicia, Libertad y Seguridad, del Centro Común de Investigación, de Informática y del Servicio de Auditoría Interna, así como por el Director de la Dirección de Seguridad de la Comisión, o por sus respectivos representantes. Podrá invitarse además a otros funcionarios de la Comisión. El Comité tendrá como función examinar las medidas de seguridad que existan dentro de la Comisión y hacer recomendaciones en esta materia al Miembro de la Comisión encargado de la seguridad.

A fin de cumplir los cometidos indicados en la sección 11, el miembro de la Comisión encargado de la seguridad tendrá a su disposición la ►M2 Dirección de Seguridad de la Comisión ◄ para coordinar, supervisar y aplicar las medidas de seguridad.

El ►M2 director de la Dirección de Seguridad de la Comisión ◄ será el principal consejero en materia de seguridad del miembro de la Comisión encargado de la seguridad y ejercerá las funciones de secretario del Grupo consultivo sobre política de seguridad. En el cumplimiento de sus funciones, dirigirá la actualización de las normas de seguridad y coordinará las medidas de seguridad con las autoridades competentes de los Estados miembros y, cuando proceda, con las organizaciones internacionales vinculadas a la Comisión por acuerdos de seguridad. A estos efectos, actuará en calidad de funcionario de enlace.

El ►M2 director de la Dirección de Seguridad de la Comisión ◄ será responsable de la acreditación de los sistemas y redes de tecnología de la información (en lo sucesivo, «TI») dentro de la Comisión. Tomará las decisiones, en colaboración con las ANS correspondientes, sobre la acreditación de los sistemas y redes de TI en los que participen, por un lado, la Comisión y, por otro, cualesquiera otros destinatarios de información clasificada de la UE.

La ►M2 Dirección de Seguridad de la Comisión ◄ llevará a cabo inspecciones periódicas de las disposiciones de seguridad adoptadas para proteger la información clasificada de la UE.

Para ese fin, podrá pedir la colaboración de los servicios de seguridad de las demás instituciones de la UE que traten información clasificada de la UE o de las autoridades nacionales de seguridad de los Estados miembros ( 5 ).

La ANS de un Estado miembro podrá efectuar, previa solicitud del Estado miembro, una inspección de las disposiciones de protección de la información clasificada de la UE dentro de la Comisión conjuntamente y de común acuerdo con la ►M2 Dirección de Seguridad de la Comisión ◄ .

La información se clasificará según los siguientes niveles (véase también el apéndice 2):

Para fijar límites a la validez de una clasificación (es decir, el momento en el que se recalifica o desclasifica información clasificada) será posible utilizar una indicación de seguridad acordada. Esta indicación podrá ser «HASTA …(hora/fecha)» o «HASTA …(suceso)».

Se aplicarán indicaciones de seguridad adicionales, tales como CRYPTO o cualquier otra indicación especial de seguridad reconocida por la UE, cuando exista una necesidad de distribución limitada y de tratamiento especial además del designado por la clasificación de seguridad.

Las indicaciones de seguridad únicamente se utilizarán en combinación con una clasificación.

Puede utilizarse un marcado para especificar el ámbito del documento, para indicar una difusión específica basada en el principio de necesidad de conocer o, en el caso de información no clasificada, para indicar el final de una prohibición.

Un marcado no constituye una clasificación y no puede utilizarse en lugar de la clasificación.

El marcado ESDP se aplicará a los documentos y copias de los mismos relativos a la seguridad y defensa de la Unión o de uno o más de sus Estados miembros, o referentes a la gestión militar o no militar de crisis.

Las indicaciones de seguridad se estamparán debajo mismo de la clasificación del mismo modo que las clasificaciones.

La información sólo se clasificará cuando resulte necesario. La clasificación se indicará clara y correctamente, y se mantendrá únicamente en la medida en que la información requiera protección.

El único responsable de la clasificación de la información y de cualquier recalificación o desclasificación que se produzca posteriormente será el autor.

Los funcionarios y otros agentes de la Comisión clasificarán, recalificarán o desclasificarán la información siguiendo instrucciones de su jefe de departamento o con su consentimiento.

Los procedimientos precisos para el tratamiento de los documentos clasificados habrán sido concebidos para garantizar la protección adecuada de la información que contengan.

Se reducirá al mínimo el número de personas autorizadas a emitir documentos ►M1 TRES SECRET UE/EU TOP SECRET ◄ y sus nombres se registrarán en una lista elaborada por la ►M2 Dirección de Seguridad de la Comisión ◄ .

La clasificación de un documento se determinará con arreglo al nivel de sensibilidad de su contenido, de acuerdo con la definición de la sección 16. Es importante que la clasificación se utilice correctamente y con moderación, en particular en el caso de la clasificación ►M1 TRES SECRET UE/EU TOP SECRET ◄ .

El autor de un documento que se vaya a clasificar deberá tener en cuenta las normas expuestas y abstenerse de clasificar de forma excesiva o insuficiente.

Cada página, apartado, sección, anexo, apéndice o documento adjunto de un documento dado podrá requerir una clasificación diferente, lo que se indicará en consecuencia. La clasificación global del documento en su totalidad será la de la parte clasificada al nivel más alto.

La clasificación de una carta o nota de transmisión de documentos será equivalente al nivel más alto de clasificación de los documentos adjuntos. El autor deberá hacer constar claramente el nivel en que dicha carta o nota debe clasificarse cuando se separe de los documentos adjuntos.

El acceso del público seguirá rigiéndose por el Reglamento (CE) no 1049/2001.

Los documentos clasificados de la UE podrán recalificarse o desclasificarse únicamente con la autorización del autor y, en caso necesario, tras consultar a las demás partes interesadas. La recalificación o desclasificación se confirmará por escrito. El autor se encargará de informar de la modificación a sus destinatarios; éstos, por su parte, se encargarán de informar de dicha modificación a los destinatarios subsiguientes a quienes se haya enviado el documento o una copia del mismo.

Siempre que sea posible, los autores deberán especificar en los documentos clasificados la fecha, plazo o suceso en que el contenido podrá ser recalificado o desclasificado. En caso contrario, revisarán los documentos cada cinco años como mínimo, para comprobar si la clasificación original sigue siendo necesaria.

El objetivo principal de las medidas físicas de seguridad es impedir que una persona no autorizada acceda a información o material clasificados de la UE, impedir el robo y la degradación de equipos y demásbienes, e impedir que se hostigue o agreda al personal, a otros empleados o a visitantes.

Todos los locales, zonas, edificios, oficinas, salas, sistemas de comunicación e información, etc., en que se almacene o trate información o material clasificado de la UE se protegerán mediante las medidas de seguridad física apropiadas.

Al decidir el grado de seguridad física necesario se tendrán en cuenta todos los factores pertinentes, como:

Las zonas en que se trate y almacene información clasificada como ►M1 CONFIDENTIEL UE ◄ o de nivel superior se organizarán y estructurarán de forma que correspondan a una de las categorías siguientes:

Se podrán crear zonas administrativas con un nivel de seguridad inferior alrededor de las zonas de seguridad de clase I y clase II, o en los espacios que conduzcan a dichas zonas. Estas zonas requerirán un perímetro definido visualmente que permita la verificación del personal y de los vehículos. En las zonas administrativas sólo se tratará y almacenará información clasificada como ►M1 RESTREINT UE ◄ e información no clasificada.

Las entradas y salidas de las zonas de seguridad de clase I y clase II de todas las personas que trabajan normalmente en ellas se controlarán mediante un sistema de pases o de identificación personal. Igualmente se creará un sistema de comprobación de visitantes que impida el acceso no autorizado a la información clasificada de la UE. Los sistemas de pases podrán basarse en una identificación automatizada que se considerará adicional a los guardias, y nunca totalmente sustitutiva de éstos. Una modificación de la evaluación del riesgo podrá conllevar el refuerzo de las medidas de control de entradas y salidas, por ejemplo con motivo de la visita de personalidades.

Fuera del horario habitual de trabajo se realizarán patrullas por las zonas de clase I y clase II a fin de proteger el material de la UE de cualquier peligro, daño o pérdida. La frecuencia de las patrullas se determinará en función de las circunstancias locales, si bien, a título orientativo, se efectuarán cada dos horas.

Para almacenar información clasificada de la UE se utilizarán tres clases de muebles:

En el caso de las cámaras acorazadas construidas dentro de una zona de seguridad de clase I o clase II y de todas las zonas de seguridad de clase I en que se almacene información ►M1 CONFIDENTIEL UE ◄ y de nivel superior en estanterías abiertas o expuesta en forma de gráficos, mapas, etc., una AAS deberá certificar que las paredes, suelos y techos y puertas con cerradura ofrecen un nivel de protección equivalente al de un mueble de seguridad de la clase homologada para el almacenamiento de información de la misma clasificación.

Las cerraduras utilizadas en los muebles de seguridad y las cámaras acorazadas en que se almacene información clasificada de la UE habrán de cumplir las siguientes normas:

Las llaves de los muebles de seguridad no se sacarán de los edificios de la Comisión. Las combinaciones de los muebles de seguridad deberán ser memorizadas por las personas que necesiten conocerlas. El responsable local de seguridad del correspondiente servicio de la Comisión tendrá bajo su custodia un juego de llaves de repuesto y un registro escrito de cada combinación, que se utilizarán en caso de emergencia. Las combinaciones se guardarán en sobres individuales opacos y sellados. Las llaves de trabajo, llaves de seguridad de repuesto y combinaciones se guardarán en muebles de seguridad aparte. Las llaves y combinaciones serán objeto de un nivel de protección de seguridad nunca inferior al del material al que den acceso.

El número de personas que conozcan las combinaciones de los muebles de seguridad será lo más limitado posible. Las combinaciones se modificarán:

Cuando se utilicen sistemas de alarma, circuitos cerrados de televisión y otros dispositivos eléctricos para proteger la información clasificada de la UE, se dispondrá de un suministro de electricidad que garantice la continuidad del funcionamiento del sistema en caso de interrupción de la alimentación eléctrica general. También es fundamental que exista una alarma u otro medio de aviso fiable al personal de vigilancia que entre en funcionamiento en caso de funcionamiento incorrecto o de intento de manipulación de los citados sistemas.

La ►M2 Dirección de Seguridad de la Comisión ◄ llevará listas actualizadas, por tipos y modelos, de los equipos de seguridad que haya homologado para la protección de información clasificada en diferentes circunstancias y condiciones especificadas. Para elaborar estas listas, a ►M2 Dirección de Seguridad de la Comisión ◄ se basará, entre otras fuentes, en la información facilitada por las ANS.

Las fotocopiadoras y los telefax se protegerán físicamente en la medida necesaria para garantizar que sólo puedan ser utilizados para tratar información clasificada por personas autorizadas y que todos los productos clasificados se sometan a los debidos controles.

Se tomarán todas las medidas adecuadas día y noche para asegurarse de que ninguna persona no autorizada vea información clasificada de la UE, así sea accidentalmente.

Las oficinas y zonas en que se hable habitualmente sobre información clasificada como ►M1 SECRET UE ◄ o de nivel superior estarán protegidas contra la escucha pasiva y activa siempre que exista un riesgo que así lo exija. Corresponderá evaluar este riesgo a la ►M2 Dirección de Seguridad de la Comisión ◄ , tras consultar, en caso necesario, a las ANS.

No se permitirá la introducción de teléfonos móviles, ordenadores personales, grabadoras, cámaras y demás aparatos electrónicos o de grabación en las zonas de seguridad o en las zonas técnicamente seguras sin autorización previa del ►M2 director de la Dirección de Seguridad de la Comisión ◄ .

A fin de determinar las medidas de protección que han de aplicarse en los locales que puedan prestarse a escucha pasiva (por ejemplo, aislamiento de paredes, puertas, suelos y techos y medición de radiaciones sospechosas) o a escucha activa (búsqueda de micrófonos, por ejemplo), la ►M2 Dirección de Seguridad de la Comisión ◄ podrá solicitar asistencia de especialistas de las ANS.

De la misma forma, cuando las circunstancias así lo exijan, el equipo de telecomunicaciones y el equipo de oficina eléctrico o electrónico de cualquier tipo que se utilice durante las reuniones a nivel ►M1 SECRET UE ◄ o superior podrán someterse a comprobación por parte de especialistas técnicos en materia de seguridad de las ANS, a petición del ►M2 director de la Dirección de Seguridad de la Comisión ◄ .

Determinadas zonas podrán designarse zonas técnicamente seguras. Se efectuará un control especial de entrada a las mismas. Estas zonas se mantendrán cerradas bajo llave con un método homologado cuando no estén ocupadas y todas las llaves recibirán tratamiento de llaves de seguridad. Estas zonas se someterán a inspecciones físicas periódicas, que podrán realizarse igualmente en caso de entrada o de sospecha de entrada de personas no autorizadas.

Se realizará un inventario detallado del equipo y mobiliario a fin de seguir sus movimientos. No se introducirá en estas zonas ningún mueble o equipo que no haya sido minuciosamente inspeccionado por personal de seguridad preparado especialmente para detectar dispositivos de escucha. Como norma general, no estará permitido instalar líneas de comunicación en zonas técnicamente seguras sin autorización previa de la autoridad competente.

19. NORMAS GENERALES SOBRE EL PRINCIPIO DE NECESIDAD DE CONOCER Y LA HABILITACIÓN DE SEGURIDAD DEL PERSONAL DE LA UE

Únicamente estarán autorizadas a acceder a información clasificada de la UE las personas que tengan la «necesidad de conocer» por motivo de su tarea o misión. El acceso a la información clasificada ►M1 TRES SECRET UE/EU TOP SECRET ◄ , ►M1 SECRET UE ◄ y ►M1 CONFIDENTIEL UE ◄ sólo se autorizará a las personas que posean la debida habilitación de seguridad.

La responsabilidad de determinar si existe la «necesidad de conocer» corresponderá al servicio en el que vaya a trabajar la persona de que se trate.

Será responsabilidad de cada servicio solicitar la habilitación de su personal.

El procedimiento desembocará en la expedición de un «certificado de seguridad» que indicará el nivel de información clasificada al que podrá acceder la persona autorizada, así como la fecha de expiración del mismo.

Un certificado de seguridad correspondiente a un nivel de clasificación determinado autorizará a su titular a acceder también a información clasificada de nivel inferior.

Las personas que no sean funcionarios u otros agentes, por ejemplo contratistas externos, expertos o consultores, con quienes haya de tratarse o a quienes haya de mostrarse información clasificada de la UE, deberán poseer una autorización de seguridad referente a información clasificada de la UE y recibir instrucciones relativas a su responsabilidad en materia de seguridad.

El acceso del público seguirá rigiéndose por el Reglamento (CE) no 1049/2001.

19.2. Normas específicas sobre el acceso a información clasificada como ►M1 TRES SECRET UE/EU TOP SECRET ◄

Todas las personas que vayan a tener acceso a información ►M1 TRES SECRET UE/EU TOP SECRET ◄ se someterán previamente a una comprobación de seguridad para el acceso a dicha información.

Todas las personas que necesiten acceder a información ►M1 TRES SECRET UE/EU TOP SECRET ◄ serán designadas por el miembro de la Comisión encargado de la seguridad y su nombre figurará en el correspondiente registro ►M1 TRES SECRET UE/EU TOP SECRET ◄ que creará y llevará la ►M2 Dirección de Seguridad de la Comisión ◄ .

Antes de tener acceso a información clasificada como ►M1 TRES SECRET UE/EU TOP SECRET ◄ , todas las personas firmarán un certificado en el que conste que han recibido instrucciones sobre los procedimientos de seguridad de la Comisión y que son plenamente conscientes de su responsabilidad especial de proteger la información ►M1 TRES SECRET UE/EU TOP SECRET ◄ , así como de las consecuencias previstas en la normativa de la UE y en la legislación nacional o administrativa en caso de que la información clasificada pase a manos no autorizadas de manera intencional o por negligencia.

En caso de que haya personas que accedan a información ►M1 TRES SECRET UE/EU TOP SECRET ◄ en reuniones o circunstancias similares, el controlador competente del servicio u órgano en el que trabajen dichas personas notificará al órgano que convoque la reunión que las personas mencionadas están autorizadas para ello.

Los nombres de todas las personas que dejende desempeñar funciones para las cuales sea necesario acceder a información ►M1 TRES SECRET UE/EU TOP SECRET ◄ se eliminarán de la lista ►M1 TRES SECRET UE/EU TOP SECRET ◄ . Además, se recordará a dichas personas su responsabilidad especial en relación con la protección de la información ►M1 TRES SECRET UE/EU TOP SECRET ◄ . También firmarán una declaración en la que se comprometan a no utilizar ni transmitir información clasificada como ►M1 TRES SECRET UE/EU TOP SECRET ◄ que se encuentre en su poder.

19.3. Normas específicas sobre el acceso a información clasificada como ►M1 SECRET UE ◄ y ►M1 CONFIDENTIEL UE ◄

Todas las personas que vayan a tener acceso a información ►M1 SECRET UE ◄ o ►M1 CONFIDENTIEL UE ◄ se someterán previamente a una comprobación de seguridad al nivel correspondiente.

Todas las personas que vayan a tener acceso a información ►M1 SECRET UE ◄ o ►M1 CONFIDENTIEL UE ◄ deberán tener conocimiento de las correspondientes normas de seguridad y conocer las consecuencias de las negligencias.

En el caso de las personas que accedan a información ►M1 SECRET UE ◄ o ►M1 CONFIDENTIEL UE ◄ en reuniones o circunstancias similares, el encargado de seguridad del órgano en que trabajen dichas personas notificará al órgano que convoque la reunión que dichas personas están autorizadas para ello.

19.4. Normas específicas sobre el acceso a información clasificada como ►M1 RESTREINT UE ◄

Se darán a conocer a las personas con acceso a información clasificada como ►M1 RESTREINT UE ◄ las presentes normas de seguridad, así como las consecuencias de las negligencias.

Cuando un miembro del personal sea trasladado de un puesto que conlleve el trabajo con material clasificado de la UE, el registro supervisará la transmisión adecuada del material del funcionario saliente al entrante.

Cuando un miembro del personal sea trasladado a otro puesto que conlleve el trabajo con material clasificado de la UE, el responsable local de seguridad le dará las instrucciones adecuadas.

Las personas que tengan que trabajar con información clasificada de la UE deberán tener conocimiento, en el momento de asumir sus tareas y periódicamente con posterioridad, de lo siguiente:

Todas las personas expuestas habitualmente a contactos frecuentes con representantes de países cuyos servicios de inteligencia están interesados en la información y actividades clasificadas de la UE y de los Estados miembros recibirán información sobre las técnicas que utilizan los distintos servicios de inteligencia.

No existen en la Comisión normas de seguridad referentes a los viajes privados que realiza el personal habilitado para acceder a información clasificada de la UE. No obstante, la ►M2 Dirección de Seguridad de la Comisión ◄ dará a conocer a los funcionarios y otros agentes de su ámbito de responsabilidad las normas sobre viajes a las que puedan estar sujetos.

20. PROCEDIMIENTO DE HABILITACIÓN DE SEGURIDAD DE LOS FUNCIONARIOS Y OTROS AGENTES DE LA COMISIÓN

21. ELABORACIÓN, DIFUSIÓN, TRANSMISIÓN, SEGURIDAD DEL PERSONAL DE CORREO, COPIAS ADICIONALES, TRADUCCIONES Y EXTRACTOS DE DOCUMENTOS CLASIFICADOS DE LA UE

Dentro de un edificio o grupo de edificios dado, los documentos clasificados podrán ser transportados en un sobre sellado que lleve únicamente el nombre del destinatario, a condición de que la persona que los transporte posea una habilitación equivalente al nivel de clasificación de los documentos.

No se establecen medidas especiales para el envío de documentos clasificados como ►M1 RESTREINT UE ◄ , salvo que el envío debe efectuarse de tal forma que dichos documentos no caigan en manos de personas no autorizadas.

Todos los correos y mensajeros utilizados para llevar documentos clasificados como ►M1 SECRET UE ◄ o ►M1 CONFIDENTIEL UE ◄ habrán de tener la debida habilitación de seguridad.

21.6. Copias adicionales, traducciones y extractos de documentos clasificados de la UE

22. REGISTROS, COLECCIONES, CONTROLES, ALMACENAMIENTO EN ARCHIVOS Y DESTRUCCIÓN DE INFORMACIÓN CLASIFICADA DE LA UE

En su calidad de controlador, el jefe del registro central ►M1 TRES SECRET UE/EU TOP SECRET ◄ se encargará de:

En su calidad de controlador, el jefe de un registro secundario ►M1 TRES SECRET UE/EU TOP SECRET ◄ se encargará de:

23. MEDIDAS DE SEGURIDAD APLICABLES A LAS REUNIONES ESPECÍFICAS CELEBRADAS FUERA DE LOS LOCALES DE LA COMISIÓN EN LAS QUE SE UTILICE INFORMACIÓN CLASIFICADA DE LA UE

Cuando las reuniones de la Comisión u otras reuniones importantes se celebren fuera de los locales de la Comisión y cuando los requisitos específicos de seguridad relativos a la gran sensibilidad de los temas tratados o de la información utilizada así lo justifiquen, deberán adoptarse las medidas de seguridad descritas a continuación. Estas medidas afectan únicamente a la protección deinformación clasificada de la UE, por lo que tal vez sea necesario preparar otras medidas de seguridad.

La ►M2 Dirección de Seguridad de la Comisión ◄ deberá cooperar con las autoridades competentes del Estado miembro en cuyo territorio se celebre la reunión (el Estado miembro anfitrión) con el fin de garantizar la seguridad de las reuniones de la Comisión o de otras reuniones importantes, así como la seguridad física de los delegados y de su personal. Con respecto a la protección de la seguridad, deberá concretamente garantizar que:

La ►M2 Dirección de Seguridad de la Comisión ◄ deberá actuar como órgano consultor de seguridad para la preparación de la reunión; deberá estar representada in situ para ayudar y aconsejar al responsable de seguridad de la reunión y a las delegaciones, si fuera necesario.

Cada una de las delegaciones de una reunión deberá designar un agente de seguridad que se ocupará de la seguridad en su delegación y de mantener contactos con el responsable de seguridad de la reunión, así como con el representante de la ►M2 Dirección de Seguridad de la Comisión ◄ , si fuera necesario.

Deberá nombrarse un responsable deseguridad de reunión que se encargará, en general, de la preparación y del control de las medidas generales de seguridad interna y de la coordinación con las demás autoridades de seguridad en cuestión. Las medidas adoptadas por dicho agente se referirán en general a lo siguiente:

El responsable de seguridad de reunión deberá suministrar las tarjetas adecuadas que soliciten las delegaciones, según sus necesidades. Siempre que sea necesario, podrá distinguirse entre el acceso a las diferentes zonas de seguridad.

Las instrucciones de seguridad de la reunión deberán exigir que todos los participantes ostenten de forma visible y permanente sus tarjetas mientras se encuentren en el lugar de la reunión, para que el personal de seguridad pueda controlarlas según se requiera.

Aparte de los participantes con tarjeta, deberá reducirse al mínimo el número de personas que pueden entrar en el lugar de la reunión. El responsable de seguridad de reunión sólo permitirá que las delegaciones nacionales reciban visitantes durante la reunión si lo solicitan previamente. Cada visitante dispondrá de una tarjeta y se deberá rellenar un formulario de entrada con su nombre y el nombre de la persona objeto de la visita. Los visitantes permanecerán siempre acompañados de un guardia de seguridad o de la persona objeto de la visita. Cuando el visitante abandone el lugar de la reunión, la persona que lo acompañe deberá entregar su formulario, junto con la tarjeta de visitante, al personal de seguridad.

En las zonas de seguridad de clase I no podrá entrar ninguna cámara o equipo de grabación más que el empleado por los fotógrafos y los ingenieros de sonido debidamente autorizados por el responsable de seguridad de reunión.

Las personas que tengan un pase con acceso a una zona de seguridad en general podrán llevar sus maletines y ordenadores portátiles (sólo con alimentación independiente) sin que se efectúe control alguno. Los paquetes dirigidos a las delegaciones podrán serán recogidos por éstas y deberán ser comprobados por el agente de seguridad de la delegación, inspeccionados mediante aparatos especiales o abiertos por el personal de seguridad. Si el responsable de seguridad de reunión lo considera necesario, podrán establecerse medidas más estrictas de inspección de maletines y paquetes.

Un equipo de seguridad técnica se encargará de que la sala de reuniones sea técnicamente segura y también podrá llevar a cabo un control electrónico durante la reunión.

Las delegaciones se encargarán de llevar y traer los documentos clasificados de la UE a las reuniones. También deberán encargarse del control y la seguridad de esos documentos mientras los utilicen en los locales que se les asignen. Podrá solicitarse ayuda del Estado miembro anfitrión para llevar y traer los documentos clasificados al lugar donde se celebre la reunión.

Si la Comisión o las delegaciones no pudieran guardar sus documentos clasificados de conformidad con las normas establecidas, podrán entregarlos en un sobre cerrado al responsable de seguridad de reunión, contra entrega del recibo pertinente, para que éste pueda guardarlos según las normas establecidas.

El responsable de seguridad de reunión dispondrá que, al término de cada jornada de trabajo, se realice una inspección de los despachos de la Comisión y de las delegaciones para garantizar que todos los documentos clasificados de la UE están en un lugar seguro. Si no fuera así, tomará las medidas oportunas.

Todos los restos de documentos se considerarán material clasificado de la UE. Deberán entregarse papeleras y bolsas a la Comisión y a las delegaciones para que recojan los papeles. Antes de abandonar los locales que se les hayan asignado, la Comisión y las delegaciones deberán entregar los papeles al responsable de seguridad de la reunión, que ordenará su destrucción según las normas.

Al final de la reunión, todos los documentos que la Comisión o las delegaciones ya no deseen se tratarán como restos de documentos. Antes de levantar las medidas de seguridad decretadas para la reunión se llevará a cabo un registro exhaustivo de los locales utilizados por la Comisión y por las delegaciones. En la medida de lo posible, los documentos que se hayan entregado a cambio de un recibo se destruirán de conformidad con lo dispuesto en la sección 22.5.

24. INFRACCIONES DE LA SEGURIDAD Y RIESGO A QUE SE EXPONE LA INFORMACIÓN CLASIFICADA DE LA UE

Infringir la seguridad es un acto u omisión contrario a una norma de seguridad de la Comisión que puede poner en peligro o exponer a riesgo información clasificada de la UE.

La información clasificada de la UE se expone a riesgo cuando cae total o parcialmente en manos de personas no autorizadas, es decir, que ni tienen la habilitación de seguridad ni la necesidad de conocer pertinentes, o cuando existe la probabilidad de que se haya producidoeste hecho.

La información clasificada de la UE puede exponerse a riesgo por descuido, negligencia o indiscreción, así como por las actividades de servicios de espionaje cuyo objetivo es la UE o sus Estados miembros, en lo tocante a la información clasificada y a las actividades de la UE, o por la actuación de organizaciones de carácter subversivo.

Todas las personas que deban tratar información clasificada de la UE deberán recibir instrucciones detalladas sobre sus atribuciones en este ámbito. Asimismo, deberán notificar inmediatamente cualquier infracción de la seguridad de la que puedan tener conocimiento.

Cuando un responsable local de seguridad o un agente de seguridad de reunión descubra o sea informado de una infracción de la seguridad relativa a información clasificada de la UE o de la desaparición de material clasificado de la UE, deberá tomar las medidas oportunas para:

Tan pronto como se notifique quepuede haberse producido una infracción, cada autoridad de seguridad deberá ponerlo inmediatamente en conocimiento de la ►M2 Dirección de Seguridad de la Comisión ◄ .

Sólo se deberán notificar los casos relativos a información clasificada ►M1 RESTREINT UE ◄ cuando presenten características anómalas.

Cuando se le comunique que se ha producido una infracción de la seguridad, el miembro de la Comisión encargado de la seguridad:

El autor deberá informar a los destinatarios y dar las instrucciones pertinentes.

Todo individuo que sea responsable de poner en peligro información clasificada de la UE estará sujeto a medidas disciplinarias de conformidad con la normativa pertinente, en particular el título VI del Estatuto de los funcionarios. Dichas medidas no serán obstáculo para emprender otras acciones legales.

Cuando proceda y sobre la base del informe mencionado en la sección 24.2, el miembro de la Comisión encargado de la seguridad tomará todas las medidas necesarias para permitir que las autoridades nacionales competentes inicien procedimientos penales.

25. PROTECCIÓN DE LA INFORMACIÓN CLASIFICADA DE LA UE TRATADA EN LOS SISTEMAS DE TECNOLOGÍA DE LA INFORMACIÓN Y DE COMUNICACIÓN

La política y los requisitos de seguridad se aplicarán a todos los sistemas y redes de comunicación (en lo sucesivo, sistemas) que traten información clasificada ►M1 CONFIDENTIEL UE ◄ o de nivel superior. Se aplicarán como complemento de las disposiciones incluidas en la Decisión C(95) 1510 final de la Comisión, de 23 de noviembre de 1995, relativa la protección de los sistemas informáticos.

Los sistemas que traten información ►M1 RESTREINT UE ◄ también requerirán medidas de seguridad para proteger la confidencialidad de esa información. Todos los sistemas requerirán medidas de seguridad para proteger tanto su propia integridad y disponibilidad como la de la información que contienen.

La política de seguridad en materia de tecnología de la información aplicada por la Comisión incluye los elementos siguientes:

Se puede definir una amenaza como la posibilidad de que la seguridad se vea puesta en peligro de forma accidental o deliberada. En el caso de los sistemas, dicha amenaza supone la pérdida de cuando menos una de las características de confidencialidad, integridad y disponibilidad. Por vulnerabilidad se entiende una debilidad o falta de control que facilitaría o permitiría el que un bien o un objetivo específicos se vieran amenazados.

La información clasificada y desclasificada de la UE tratada en los sistemas de forma concentrada para una localización, comunicación y utilización rápidas es vulnerable a numerosas amenazas. Entre ellas está el acceso de usuarios no autorizados a la información o, al contrario, la denegación del acceso a la misma a los usuarios autorizados. También hay riesgos de divulgación, corrupción, alteración o supresión no autorizadas de la información. Además, el material, complejo y a menudo frágil, resulta costoso y suele ser difícil de reparar o de sustituir rápidamente.

El principal objetivo de las medidas de seguridad expuestas en esta sección es prestar protección frente a la divulgación no autorizada de información clasificada de la UE (la pérdida de confidencialidad) y frente a la pérdida de integridad o de disponibilidad de la información. Para alcanzar un nivel adecuado de protección de la seguridad de un sistema que trate información clasificada de la UE, la ►M2 Dirección de Seguridad de la Comisión ◄ deberá definir unas normas adecuadas de seguridad convencional junto con los procedimientos y las técnicas especiales de seguridad pertinentes particularmente ideadas para cada sistema.

25.1.4. Enunciación de los requisitos específicos de seguridad del sistema (SSRS)

El propietario de los sistemas técnicos (véase la sección 25.3.4) y el propietario de la información (véase la sección 25.3.5) deberán enunciar los requisitos específicos de seguridad del sistema (SSRS) para todos los sistemas que traten información clasificada ►M1 CONFIDENTIEL UE ◄ o de nivel superior, con la contribución y la asistencia del personal del proyecto y de la ►M2 Dirección de Seguridad de la Comisión ◄ (en calidad de Autoridad INFOSEC, véase la sección 25.3.3) y deberán ser aprobados por la Autoridad de acreditación en materia de seguridad (véase la sección 25.3.2).

Será igualmente necesario enunciar los requisitos específicos de seguridad del sistema siempre que la Autoridad de acreditación en materia de seguridad considere de capital importancia la disponibilidad e integridad de la información clasificada ►M1 RESTREINT UE ◄ o de información no clasificada.

Los requisitos específicos de seguridad del sistema deberán especificarse desde el primer momento de concepción del proyecto y deberán mejorarse y perfeccionarse a medida que el proyecto avance, de forma que desempeñen diversas funciones en las diferentes fases del ciclo vital del proyecto y del sistema.

Todos los sistemas que traten información clasificada ►M1 CONFIDENTIEL UE ◄ o de nivel superior estarán autorizados para funcionar en uno de los siguientes modos de operación de seguridad o en su equivalente nacional o, cuando fuere necesario y por períodos diferentes, en más de uno de los siguientes modos de operación de seguridad:

Por «acreditación» se entenderá la autorización y la aprobación concedidas a un sistema para tratar información clasificada de la UE en su entorno operativo.

Dicha acreditación debe efectuarse previa aplicación de todos los procedimientos de seguridad pertinentes y de la obtención de un nivel de protección suficiente para los elementos del sistema. Normalmente, debe basarse en los requisitos específicos de seguridad del sistema y, concretamente, en los siguientes elementos:

Por «responsable central de seguridad informática» (CISO) se entenderá el funcionario que, en un servicio central de tecnología de la información, coordina y supervisa las medidas de seguridad de los sistemas organizados de forma centralizada.

Por «certificación» se entenderá la expedición de una declaración oficial, basada en un examen independiente acerca del proceder y de los resultados de una evaluación, que indique en qué medida un sistema cumple la exigencia de seguridad o un producto de seguridad informática cumple los requisitos de seguridad previamente establecidos.

Por «seguridad de las comunicaciones» (COMSEC) se entenderá la aplicación a las telecomunicaciones de medidas de seguridad encaminadas a denegar a las personas no autorizadas información útil que pudiera derivarse de la posesión y el estudio de dichas telecomunicaciones o a garantizar la autenticidad de las mismas.

Dichas medidas incluyen tanto la seguridad en materia de criptografía, transmisión y emisión como la seguridad relativa a los procedimientos, a los elementos físicos, al personal, a los documentos y al ordenador.

Por «seguridad de los ordenadores» (COMPUSEC) se entenderá la aplicación a un sistema informático de dispositivos de seguridad del soporte material, de los microprogramas y de los programas informáticos con objeto de protegerle contra, o impedir, la divulgación, manipulación, modificación o supresión de información no autorizadas, o la denegación de servicio.

Por «producto de seguridad informática» se entenderá un elemento genérico de seguridad informática destinado a ser incorporado a un sistema de tecnología de la información con objeto de mejorar o garantizar la confidencialidad, la integridad o la disponibilidad de la información tratada.

Por «modo de operación de seguridad exclusivo» se entenderá un modo de operación en el que TODOS los individuos con acceso al sistema están habilitados al nivel más alto de clasificación de la información tratada en el sistema, y con una necesidad común de conocer TODA la información tratada en el sistema.

Por «evaluación» se entenderá el examen técnico detallado, por una autoridad pertinente, de los aspectos de seguridad de un sistema o de un producto para la seguridad de la criptografía o del ordenador.

Por «propietario de la información» (IO) se entenderá la autoridad (Jefe de Unidad) que tiene la responsabilidad de crear, procesar y utilizar la información, incluida la capacidad de decidir quién está autorizado a acceder a dicha información.

Por «seguridad de la información» (INFOSEC) se entenderá la aplicación de medidas de seguridad para proteger la información tratada, almacenada o transmitida en sistemas electrónicos de comunicación, información u otros, frente a una pérdida de confidencialidad, integridad o disponibilidad, ya sea accidental o intencionada, y para evitar la pérdida de integridad y disponibilidad de los sistemas en sí mismos.

Las «medidas de INFOSEC» incluyen la seguridad de los ordenadores, de las transmisiones, de las emisiones y la seguridad de carácter criptográfico, así como la detección, documentación y respuesta a las amenazas contra la información y los sistemas.

Por «zona de tecnología de la información» se entenderá una zona que contiene uno o varios ordenadores, sus unidades locales periféricas y de archivo, la unidad de control, las redes exclusivas y el equipo de comunicaciones.

Esto no incluye una zona aparte donde haya terminales, puestos de trabajo o periféricos remotos, aun cuando dichos dispositivos estén conectados al equipo que se encuentra en la zona de tecnología de la información.

Por «red de tecnología de la información» se entenderá la organización, geográficamente dispersa, de sistemas de tecnología de la información interconectados para el intercambio de datos, incluidos los componentes de los sistemas de tecnología de la información interconectados y su interfaz con las redes de datos o redes de comunicaciónde apoyo.

Los «dispositivos de seguridad de una red de tecnología de la información» comprenden los dispositivos de seguridad de cada sistema de tecnología de la información que forme parte de la red, pero también los componentes y dispositivos complementarios asociados a dicha red y necesarios para garantizar un nivel aceptable de protección de la información clasificada (por ejemplo, comunicaciones en red, mecanismos y procedimientos de etiquetado e identificación de seguridad, controles de acceso, programas y ficheros de seguimiento).

Por «sistema de tecnología de la información» se entenderá un conjunto de material, métodos, procedimientos y, si es necesario, personal, organizado de forma que cumpla funciones de tratamiento de la información.

Las «medidas de seguridad de un sistema de tecnología de la información» comprenden todas las funciones y características de soporte material, microprogramas y programas informáticos; procedimientos operativos, procedimientos de responsabilidad y controles de acceso, zona de tecnología de la información, zona de terminales o puestos de trabajo remotos, así como las normas de gestión, los dispositivos y estructuras físicas, las medidas de control de personal y de las comunicaciones necesarias para garantizar un nivel aceptable de protección de la información clasificada que deberá tratarse en un sistema de tecnología de la información.

Por «responsable local de seguridad informática» (LISO) se entenderá el funcionario que, en un servicio de la Comisión, se encarga de coordinar y supervisar las medidas de seguridad dentro de su ámbito de actuación.

Por «modo de operación de seguridad de múltiples niveles» se entenderá un modo de operación en el que NO TODOS los individuos con acceso al sistema están habilitados al nivel más alto de clasificación de la información tratada en el sistema, y en el cual NO TODOS los individuos con acceso al sistema tienen una necesidad común de conocer la información tratada en el sistema.

Por «zona de terminales o puestos de trabajo remotos» se entenderá una zona que contiene equipo informático, sus periféricos, terminales o puestos de trabajo locales y cualquier equipo de comunicaciones asociado, separada de una zona de tecnología de la información.

Por«procedimientos operativos de seguridad» se entenderá los procedimientos elaborados por el propietario de los sistemas técnicos para definir los principios que deberán adoptarse en materia de seguridad, los procedimientos operativos que deberán seguirse y las responsabilidades del personal.

Por «modo de operación de seguridad de alto nivel» se entenderá un modo de operación en el que TODOS los individuos con acceso al sistema están habilitados al nivel más alto de clasificación de la información tratada en el sistema, pero en el que NO TODOS los individuos con acceso al sistema tienen una necesidad común de conocer la información tratada en el sistema.

Por «enunciación de los requisitos específicos de seguridad del sistema» (SSRS) se entenderá una enumeración completa y explícita de los principios de seguridad que deben observarse y de los requisitos pormenorizados de seguridad que hay que cumplir. Se basan en la política de seguridad y de evaluación de riesgos de la Comisión, o vienen impuestos por parámetros como el entorno operativo, el nivel más bajo de habilitación de seguridad del personal, la clasificación más alta de la información tratada, el modo operativo de seguridad o las necesidades de los usuarios. Los requisitos específicos de seguridad del sistema forman parte integrante de la documentación del proyecto presentada a las autoridades competentes para su aprobación técnica, presupuestaria y de seguridad. En su forma final, los requisitos específicos de seguridad del sistema constituyen una verdadera enumeración de los parámetros de seguridad del sistema.

Por «propietario de los sistemas técnicos» (TSO) se entenderá la autoridad responsable de la creación, mantenimiento, explotación y cierre de un sistema.

Por «contramedidas TEMPEST» se entenderá las medidas de seguridad destinadas a proteger el equipo y las infraestructuras de comunicación frente al riesgo de que se filtre información clasificada a través de emisiones electromagnéticas no intencionadas.

Las competencias consultivas del Grupo consultivo sobre la política de seguridad de la Comisión, definidas en la sección 12, incluyen cuestiones INFOSEC. Este grupo organizará sus actividades de tal manera que pueda facilitar un asesoramiento experto en las cuestiones antes mencionadas.

La ►M2 Dirección de Seguridad de la Comisión ◄ será la encargada de publicar normas INFOSEC detalladas, a partir de las disposiciones del presente capítulo.

En caso de que surjan problemas relativos a la seguridad (incidentes, quebrantamientos, etc.), la ►M2 Dirección de Seguridad de la Comisión ◄ deberá adoptar medidas inmediatas.

La ►M2 Dirección de Seguridad de la Comisión ◄ dispondrá de una unidad INFOSEC.

El ►M2 director de la Dirección de Seguridad de la Comisión ◄ será la Autoridad de acreditación en materia de seguridad de la Comisión. La Autoridad de acreditación en materia de seguridad será responsable de la organización general de laseguridad y de los ámbitos INFOSEC especializados, a saber, la seguridad de las comunicaciones, la seguridad Crypto y la seguridad Tempest.

La Autoridad de acreditación en materia de seguridad se encargará de garantizar la conformidad de los sistemas con la política de seguridad de la Comisión. Una de sus tareas consistirá en otorgar la aprobación de un sistema para tratar información clasificada de la UE a un nivel de clasificación definido en su entorno operativo.

La jurisdicción de la SAA de la Comisión incluirá todos los sistemas operativos en los locales de la Comisión. Cuando diversos componentes de un sistema recaigan en la jurisdicción de la SAA de la Comisión y de otras SAA, todas las partes en cuestión podrán designar un comité común de acreditación bajo la coordinación de la SAA de la Comisión.

El jefe de la Unidad INFOSEC de la ►M2 Dirección de Seguridad de la Comisión ◄ será la Autoridad INFOSEC de la Comisión. La Autoridad INFOSEC se encargará de las siguientes actividades:

La responsabilidad de la ejecución y del funcionamiento de los controles y de los dispositivos de seguridad especiales de un sistema recae en el propietario de dicho sistema, el propietario de los sistemas técnicos. En el caso de los sistemas gestionados a escala central, deberá nombrarse un responsable central de seguridad informática. Cada servicio nombrará, según proceda, un responsable local de seguridad informática. La responsabilidad de un propietario de los sistemas técnicos incluye la elaboración de procedimientos operativos de seguridad y se prolongará durante el ciclo vital de un sistema, desde la fase de concepción del proyecto hasta su descarte definitivo.

El propietario de los sistemas técnicos especificará las normas y prácticas de seguridad que deba cumplir el suministrador del sistema.

El propietario de los sistemas técnicos podrá delegar una parte de sus responsabilidades, por ejemplo, en el responsable local de seguridad informática. Una sola persona podrá realizar las diversas funciones de INFOSEC.

El propietario de la información será responsable de la información clasificada de la UE (y de otro tipo de información) que deba ser introducida, procesada y producida en los sistemas técnicos. Definirá las exigencias para el acceso a dicha información en los sistemas. Podrá delegar su responsabilidad en un gestor de la información o en un gestor de base de datos dentro de su ámbito de actuación.

Todos los usuarios serán responsables de garantizar que sus acciones no pongan en peligro la seguridad del sistema que utilizan.

Se ofrecerá formación e información INFOSEC a todo el personal que lo necesite.

Los usuarios del sistema deberán estar habilitados y tener necesidad de conocer, según corresponda a la clasificación y al contenido de la información tratada en su sistema específico. El acceso a determinadas informaciones o equipos específicos de sistemas de seguridad requerirá una autorización especial otorgada con arreglo a los procedimientos de la Comisión.

La Autoridad de acreditación en materia de seguridad designará todos los puestos sensibles y definirá el nivel de autorización y supervisión exigido a todo el personal que los ocupe.

Los sistemas deberán especificarse y concebirse de forma que se facilite la distribución de tareas y responsabilidades entre el personal para que ninguna persona tenga el conocimiento ni el control completo de los puntos clave de seguridad del sistema.

Las zonas de tecnología de la información y las zonas de terminales o puestos de trabajo remotos donde la seguridad del sistema pueda alterarse no estarán ocupadas por un solo funcionario u otro agente autorizado.

Las normas de seguridad de un sistema sólo podrán ser modificadas por al menos dos personas autorizadas que actúen de común acuerdo.

Las zonas de tecnología de la información y las zonas de terminales o puestos de trabajo remotos (según la definición que consta en la sección 25.2) en las que una información clasificada ►M1 CONFIDENTIEL UE ◄ y de nivel superior se trate con medios de tecnología de la información, o en las cuales sea posible un acceso a tal información, se clasificarán como zonas de seguridad de la UE de clase I o clase II, según convenga.

Toda la información y todo el material que controlen el acceso a un sistema estarán protegidos según las disposiciones correspondientes a la clasificación más alta y a la categoría de información a la cual dicho sistema pueda dar acceso.

Cuando ya no se utilice para dicho fin, la información y el material de control de acceso deberán ser destruidos de conformidad con las disposiciones de la sección 25.5.4.

El autor de la información tendrá la obligación de identificar y clasificar todos los documentos que contengan información ya sea en forma de impresión en papel o de soporte informático. En cada página del producto impreso se indicará, tanto en la cabecera como al pie, la clasificación correspondiente. Los documentos producidos, ya sean en forma de impresión en papel o de soporte informático, tendrán la misma clasificación que la información de nivel más alto que se haya utilizado para producirlos. El modo en que se opere un sistema podrá también repercutir en la clasificación de los documentos producidos por ese sistema.

Los servicios de la Comisión y quienes detenten en ella una información estarán obligados a considerar los problemas que plantean la suma de elementos discretos de información y las deducciones que puedan hacerse de los elementos interrelacionados, así como a determinar si es pertinente una clasificación de nivel más alto para la totalidad de la información.

El hecho de que la información pueda representarse en forma de código abreviado, de código de transmisión, o en cualquier otra forma binaria, no le garantiza protección alguna y, por tanto, no deberá incidir en la clasificación de la información.

Cuando la información se transfiera de un sistema a otro, deberá protegerse durante el traslado y en el sistema receptor de manera conforme a la clasificación y a la categoría originales de la información.

Todos los soportes informáticos deberán tratarse de conformidad con la clasificación más alta de la información almacenada o de su marcado, y deberán estar adecuadamente protegidos en todo momento.

Los soportes informáticos reutilizables que sirvan para registrar información clasificada de la UE mantendrán el nivel más alto de clasificación atribuido a los datos para los que hayan sido utilizados hasta que dicha información se recalifique o desclasifique y el soporte se vuelva a clasificar de manera correspondiente, o se desclasifique o destruya de conformidad con un procedimiento aprobado por la Autoridad de acreditación en materia de seguridad (véase 25.5.4).

Deberán llevarse registros automáticos (inspecciones de seguimiento) o manuales para dejar constancia del acceso a la información clasificada ►M1 SECRET UE ◄ y de nivel superior. Dichos registros se conservarán de conformidad con las presentes normas de seguridad.

Los productos clasificados de la UE que se mantengan en la zona de tecnología de la información podrán tratarse como un único elemento clasificado y no hará falta que se registren, siempre ycuando el material sea identificado, lleve marcada su clasificación y esté debidamente controlado.

Cuando un sistema genere un producto que trate información clasificada de la UE y se transmita de una zona de tecnología de la información a una zona de terminales o puestos de trabajo remotos, se crearán procedimientos, aprobados por la Autoridad de acreditación en materia de seguridad, para controlar y registrar dicho producto. Para la clasificación ►M1 SECRET UE ◄ y de nivel superior, dichos procedimientos incluirán instrucciones específicas respecto de la fiabilidad de la información.

Todos los soportes informáticos extraíbles clasificados ►M1 CONFIDENTIEL UE ◄ y de nivel superior se tratarán como material clasificado y se les aplicarán las normas generales. Será preciso adaptar la correspondiente identificación y clasificación a las características físicas de los soportes, con objeto de que puedan reconocerse con toda claridad.

Incumbirá a los usuarios garantizar que la información clasificada de la UE se archive en soportes que tengan la indicación de clasificación y la protección adecuadas. Se establecerán procedimientos para garantizar que, a todos los niveles de información de la UE, el archivo de la información en soportes informáticos tenga lugar de conformidad con las presentes normas de seguridad.

Los soportesinformáticos utilizados para registrar información clasificada de la UE podrán ser recalificados o desclasificados de conformidad con un procedimiento aprobado por la Autoridad de acreditación en materia de seguridad.

Los soportes informáticos que hayan contenido información clasificada ►M1 TRES SECRET UE/EU TOP SECRET ◄ o información de categoría especial no serán desclasificados ni reutilizados.

Los soportes informáticos que no puedan desclasificarse ni reutilizarse se destruirán de conformidad con el procedimiento anteriormente mencionado.

El ►M2 director de la Dirección de Seguridad de la Comisión ◄ será la Autoridad Crypto.

Cuando una información clasificada de la UE se transmita por vía electromagnética, se aplicarán medidas especiales para proteger la confidencialidad, integridad y disponibilidad de dicha transmisión. La Autoridad de acreditación en materia de seguridad determinará los requisitos relativos a la protección de las transmisiones frente a la detección y la interceptación. La información transmitida dentro de un sistema de comunicaciones estará protegida conforme a los requisitos de confidencialidad, integridad y disponibilidad.

Cuando sea preciso recurrir a métodos criptográficos para proteger la confidencialidad, integridad y disponibilidad, dichos métodos y sus productos asociados deberán ser expresamente aprobados a tal fin por la Autoridad de acreditación en materia de seguridad en calidad de Autoridad Crypto.

Durante la transmisión, la confidencialidad de la información clasificada ►M1 SECRET UE ◄ o de nivel superior estará protegida por métodos o productos criptográficos aprobados por el miembro de la Comisión encargado de la seguridad previa consulta al Grupo consultivo sobre la política de seguridad de la Comisión. Durante la transmisión, la confidencialidad de la información clasificada ►M1 CONFIDENTIEL UE ◄ o ►M1 RESTREINT UE ◄ estará protegida por métodos o productos criptográficos aprobados por la Autoridad Crypto de la Comisión previa consulta al Grupo consultivo sobre la política de seguridad de la Comisión.

Se establecerán normas detalladas aplicables a la transmisión de información clasificada de la UE en las instrucciones específicas de seguridad aprobadas por la ►M2 Dirección de Seguridad de la Comisión ◄ previa consulta al Grupo consultivo sobre la política de seguridad de la Comisión.

En circunstancias operativas excepcionales, la información clasificada ►M1 RESTREINT UE ◄ , ►M1 CONFIDENTIEL UE ◄ y ►M1 SECRET UE ◄ podrá transmitirse en forma de texto claro siempre y cuando el propietario de la información lo autorice expresamente en cada ocasión y lo registre debidamente. Dichas circunstancias excepcionales son las siguientes:

Un sistema deberá tener la capacidad de denegar de forma concluyente el acceso a información clasificada de la UE a cualquiera de sus terminales o puestos de trabajo remotos, si es necesario desconectándolos físicamente o mediante dispositivos informáticos especiales aprobados por la Autoridad de acreditación en materia de seguridad.

En las especificaciones de la instalación inicial de los sistemas y de cualquier modificación posterior de la misma deberá establecerse que éstas se efectúan por instaladores provistos de la necesaria autorización de seguridad, bajo la vigilancia continua de un personal técnico competente habilitado para tener acceso a información clasificada de la UE de un nivel de clasificación equivalente a la clasificación más alta que el sistema deba almacenar y tratar.

Los sistemas que traten información clasificada ►M1 CONFIDENTIEL UE ◄ o de nivel superior estarán protegidos de tal modo que su seguridad no pueda estar amenazada por radiaciones o una conductividad perjudiciales, cuyo examen y prevención se designarán con el término «Tempest».

Las contramedidas Tempest serán estudiadas y aprobadas por una autoridad Tempest (véase 25.3.2).

Los procedimientos operativos de seguridad definen los principios que deberán adoptarse en materia de seguridad, los procedimientos operativos que deberán seguirse y las responsabilidades del personal y se elaborarán bajo la responsabilidad del propietario de los sistemas técnicos.

25.6.2. Gestión de la protección y configuración de los programas informáticos

La protección de seguridad de los programas de aplicación se determinará a tenor de una evaluación de la clasificación de seguridad del propio programa y no de la clasificación de la información que deban tratar. Las versiones de los programas informáticos utilizados deberán comprobarse periódicamente para garantizar su integridad y correcto funcionamiento.

No se utilizarán versiones nuevas o modificadas de los programas informáticos para el tratamiento de la información clasificada de la UE hasta que el propietario de los sistemas técnicos los haya comprobado.

25.6.3. Control de la presencia de virus y programas informáticos destinados a causar daños

Se llevarán a cabo controles para detectar la presencia de virus y programas informáticos destinados a causar daños, de conformidad con los requisitos de la Autoridad de acreditación en materia de seguridad.

Antes de suintegración en cualquier sistema, todos los soportes informáticos que lleguen a la Comisión deberán verificarse con objeto de detectar la presencia de cualquier virus o programa informático destinado a causar daños.

Los contratos y procedimientos para el mantenimiento, ya sea éste programado o realizado previa petición, de los sistemas para los que se haya efectuado unos requisitos específicos de seguridad del sistema especificarán los requisitos y las disposiciones aplicables al personal de mantenimiento y al equipo correspondiente que entre en una zona de tecnología de la información.

Los requisitos y procedimientos se indicarán con claridad, respectivamente, en los requisitos específicos de seguridad del sistema y en los procedimientos operativos de seguridad. Las instrucciones de mantenimiento del contratista que requieran procedimientos de diagnóstico de acceso remoto se permitirán únicamente en circunstancias excepcionales, bajo un riguroso control de seguridad y sólo con la aprobación de la Autoridad de acreditación en materia de seguridad.

Todo producto de seguridad que vaya a utilizarse con el sistema que va a adquirirse deberá haber sido evaluado y certificado o ser objeto de evaluación y certificación en el momento de la adquisición por parte de un organismo de evaluación o certificación adecuado de uno de los Estados miembros según criterios reconocidos a escala internacional (tales como los criterios comunes para la evaluación de la seguridad de las tecnologías de la información, véase norma ISO 15408). Para obtener la autorización de la Comisión Consultiva de Compras y Contratos (CCCC) se exigen procedimientos específicos.

Al decidir si el equipo y, en particular, los soportes informáticos deben arrendarse en vez deadquirirse, deberá tenerse presente que dicho equipo, una vez utilizado para tratar información clasificada de la UE, no podrá utilizarse fuera de un entorno adecuadamente seguro sin ser primero desclasificado con la aprobación de la Autoridad de acreditación en materia de seguridad, y que dicha aprobación no siempre será posible.

Antes de tratar información clasificada de la UE, todos los sistemas para los que se necesite unos requisitos específicos de seguridad del sistema deberán ser acreditados por la Autoridad de acreditación en materia de seguridad a tenor de la información contenida en los requisitos específicos de seguridad del sistema, en los procedimientos operativos de seguridad y en cualquier otro documento aplicable. Los subsistemas y los terminales y puestos de trabajo remotos deberán estar acreditados como parte de todos los sistemas a los que estén conectados. Cuando un sistema sirva al mismo tiempo a la Comisión y a otras organizaciones, la Comisión y las autoridades de seguridad pertinentes acordarán mutuamente la acreditación.

El proceso de acreditación podrá efectuarse con arreglo a una estrategia de acreditación adecuada a un determinado sistema y definida por la Autoridad de acreditación en materia de seguridad.

En determinados casos, antes de su acreditación, el soporte material, los microprogramas y los dispositivos de seguridad informáticos de un sistema se evaluarán y certificarán como capaces de salvaguardar información en el nivel de clasificación pertinente.

Los requisitos para la evaluación y certificación se incluirán en la planificación del sistema y se indicarán claramente en los requisitos específicos de seguridad del sistema.

Los procesos de evaluación y certificación se llevarán a cabo de conformidad con las directrices aprobadas por personal técnicamente cualificado y debidamente habilitado que actúe en nombre del propietario de los sistemas técnicos.

El personal podrá ser el indicado por una autoridad nacional de evaluación o certificación designada o por sus representantes designados, por ejemplo un contratista competente y habilitado.

El grado de los procesos de evaluación y certificación necesarios podrá reducirse (por ejemplo, para incluir únicamente los aspectos de integración) cuando los sistemas se basen en productos para la seguridad informática evaluados y certificados a escala nacional.

25.7.4. Control sistemático de los elementos de seguridad para una acreditación continua

El propietario de los sistemas técnicos deberá establecer procedimientos de control sistemático que garanticen que todos los dispositivos de seguridad del sistema siguen siendo válidos.

Los tipos de modificación que requieran una nueva acreditación o la aprobación previa de la Autoridad de acreditación en materia de seguridad deberán identificarse claramente y enunciarse en los requisitos específicos de seguridad del sistema. Después de cualquier modificación, reparación o fallo que pueda haber afectado a los dispositivos de seguridad del sistema, el propietario de los sistemas técnicos se encargará de que se realice un control para garantizar el funcionamiento correcto de los dispositivos de seguridad. La acreditación del sistema dependerá normalmente del resultado satisfactorio de dichos controles.

La Autoridad de acreditación en materia de seguridad inspeccionará o revisará periódicamente todos los sistemas a los que se hayan aplicado dispositivos de seguridad. Con respecto a los sistemas que traten información clasificada ►M1 TRES SECRET UE/EU TOP SECRET ◄ , las inspecciones se efectuarán al menos una vez al año.

Los microordenadores y ordenadores personales con disco fijo (u otros soportes de memoria permanente), que funcionen autónomamente o en red, y los dispositivos informáticos portátiles (por ejemplo, PC portátiles y «notebooks» electrónicos) con discos duros fijos, se considerarán medios de almacenamiento de información en el mismo sentido que los disquetes u otros soportes informáticos extraíbles.

Se aplicará a dichos equipos, por lo que respecta al acceso, tratamiento, almacenamiento y transporte, el nivel de protección correspondiente al nivel más alto de clasificación de la información que se haya almacenado o tratado (hasta que se recalifiquen o desclasifiquen con arreglo a procedimientos aprobados).

25.8.2. Utilización de equipos privados para trabajos oficiales de la Comisión

Para tratar información clasificada de la UE queda prohibida la utilización de soportes informáticos extraíbles, programas informáticos y soportes materiales de tecnología de la información privados (por ejemplo, PC y dispositivos informáticos portátiles) con capacidad de archivar datos.

No podrán introducirse soportes materiales, programas informáticos y soportes informáticos privados en una zona de clase I o clase II en que se trate información clasificada de la UE sin la autorización escrita del ►M2 Director de la Dirección de Seguridad de la Comisión ◄ . Dicha autorización únicamente se concederá por razones técnicas en casos excepcionales.

25.8.3. Utilización de equipo perteneciente a un contratista facilitado por un país para un trabajo oficial de la Comisión

El ►M2 director de la Dirección de Seguridad de la Comisión ◄ podrá autorizar la utilización de equipo de tecnología de la información y de programas informáticos pertenecientes a un contratista en organizaciones que prestan apoyo a los trabajos oficiales de la Comisión. Asimismo podrá autorizar la utilización de equipo de tecnología de la información y de programas informáticos suministrados por un país; en tal caso, el equipo de tecnología de la información se someterá al control del inventario adecuado de la Comisión. En ambos casos, si el equipo de tecnología de la información sirve para tratar información clasificada de la UE, se consultará a la Autoridad de acreditación en materia de seguridad con objeto de que se consideren y lleven a efecto debidamente los elementos de INFOSEC que sean aplicables a la utilización de ese equipo.

26. ENTREGA DE INFORMACIÓN CLASIFICADA DE LA UE A TERCEROS PAÍSES U ORGANIZACIONES INTERNACIONALES

26.1.1. Principios que rigen la comunicación de información clasificada de la UE

El colegio de miembros de la Comisión decidirá comunicar la información clasificada de la UE a terceros países u organizaciones internacionales a tenor:

Se solicitará la aprobación del autor de la información clasificada de la UE que deba entregarse.

La aceptación por terceros países u organizaciones internacionales de la información clasificada de la UE supondrá la garantía de que dicha información no se utilizará con fines distintos de los que han motivado la comunicación o el intercambio de información y de que dichos países u organizaciones proporcionarán la protección exigida por la Comisión.

Una vez que la Comisión haya decidido que una información clasificada puede comunicarse o intercambiarse con un determinado país u organización internacional, decidirá sobre el nivel de cooperación que resulta posible. Ello dependerá, en particular, de la política y la normativa de seguridad que se aplique en dicho país u organización

Una vez que la Comisión haya decidido que existe una necesidad permanente o a largo plazo de intercambiar información clasificada entre la Comisión y terceros países u otras organizaciones internacionales, celebrará con ellos «acuerdos sobre los procedimientos de seguridad para el intercambio de información clasificada» que definan el objeto de la cooperación y las normas de protección recíproca de la información intercambiada

En el caso de la cooperación ocasional de nivel 3 que, por definición, está limitada en el tiempo y en su objeto, podrá hacer las veces de «acuerdo sobre los procedimientos para el intercambio de información clasificada» un simple memorando de entendimiento que defina el carácter de la información clasificada que deba intercambiarse y las obligaciones recíprocas con respecto a dicha información, a condición de que dicho memorando no sea de clasificación más alta que ►M1 RESTREINT UE ◄ .

Los proyectos de acuerdo sobre procedimientos de seguridad o los memorandos de entendimiento serán debatidos por el Grupo consultivo sobre la política de seguridad de la Comisión antes de someterlos a la Comisión para que ésta decida.

El miembro de la Comisión encargado de los temas de seguridad solicitará toda la asistencia necesaria de la Autoridad de seguridad nacional de los Estados miembros para garantizar que la información que deba comunicarse se utilice y proteja de conformidad con lo dispuesto en los acuerdos sobre procedimientos de seguridad o memorandos de entendimiento.

La presente sección se ocupa de aspectos de seguridad de las actividades industriales destinadas únicamente a la negociación y la adjudicación de contratos o de acuerdos de subvención que confíen tareas que impliquen, conlleven y/o contengan información clasificada de la UE y para su realización por entidades industriales u otras, incluida la difusión de información clasificada de la UE, o el acceso a la misma, durante la contratación pública y los procedimientos de convocatoria de propuestas (período de presentación de ofertas y negociaciones precontractuales).

A efectos de estas normas mínimas comunes, se aplicarán las siguientes definiciones:

Las visitas de miembros del personal de la Comisión a entidades industriales o de otra índole situadas en los Estados miembros y que cumplan contratos clasificados deberán organizarse con el acuerdo de la ANS/ASD correspondiente. Las visitas de empleados de entidades industriales o de otra índole en el marco de un contrato clasificado de la UE deberán acordarse entre las ANS/ASD correspondientes. No obstante, las ANS/ASD implicadas en un contrato clasificado de la UE podrán acordar un procedimiento que permita la concertación directa de las visitas de empleados de entidades industriales o de otra índole.

COMPARACIÓN DE LAS CLASIFICACIONES DE SEGURIDAD NACIONAL

Clasificación UE	TRES SECRET UE/EU TOP SECRET	SECRET UE	CONFIDENTIEL UE	RESTREINT UE
Clasificación UEO	FOCAL TOP SECRET	WEU SECRET	WEU CONFIDENTIAL	WEU RESTRICTED
Clasificación Euratom	EURA TOP SECRET	EURA SECRET	EURA CONFIDENTIAL	EURA RESTRICTED
Clasificación OTAN	COSMIC TOP SECRET	NATO SECRET	NATO CONFIDENTIAL	NATO RESTRICTED
Bélgica	Très Secret	Secret	Confidentiel	Diffusion restreinte
Bélgica	Zeer Geheim	Geheim	Vertrouwelijk	Beperkte Verspreiding
República Checa	Přísn tajné	Tajné	Důvěrné	Vyhrazené
Dinamarca	Yderst hemmeligt	Hemmeligt	Fortroligt	Til tjenestebrug
Alemania	Streng geheim	Geheim	VS (1) — Vertraulich	VS — Nur für den Dienstgebrauch
Estonia	Täiesti salajane	Salajane	Konfidentsiaalne	Piiratud
Grecia	Άκρως Απόρρητο	Απόρρητο	Εμπιστευτικό	Περιορισμένης Χρήσης
Grecia	Abr: ΑΑΠ	Abr: (ΑΠ)	Αbr: (ΕΜ)	Abr: (ΠΧ)
España	Secreto	Reservado	Confidencial	Difusión Limitada
Francia	Très Secret Défense (2)	Secret Défense	Confidentiel Défense
Irlanda	Top Secret	Secret	Confidential	Restricted
Italia	Segretissimo	Segreto	Riservatissimo	Riservato
Chipre	Άκρως Απόρρητο	Απόρρητο	Εμπιστευτικό	Περιορισμένης Χρήσης
Letonia	Sevišķi slepeni	Slepeni	Konfidenciāli	Dienesta vajadzībām
Lituania	Visiškai slaptai	Slaptai	Konfidencialiai	Riboto naudojimo
Luxemburgo	Très Secret	Secret	Confidentiel	Diffusion restreinte
Hungría	Szigorúan titkos !	Titkos !	Bizalmas !	Korlátozott terjesztésű !
Malta	L-Ghola Segretezza	Sigriet	Kunfidenzjali	Ristrett
Países Bajos	Stg (3). Zeer Geheim	Stg. Geheim	Stg. Confidentieel	Departementaalvertrouwelijk
Austria	Streng Geheim	Geheim	Vertraulich	Eingeschränkt
Polonia	Ściśle Tajne	Tajne	Poufne	Zastrzeżone
Portugal	Muito Secreto	Secreto	Confidencial	Reservado
Eslovenia	Strogo tajno	Tajno	Zaupno	SVN Interno
Eslovaquia	Prísne tajné	Tajné	Dôverné	Vyhradené
Finlandia	Erittäinsalainen	Erittäin salainen	Salainen	Luottamuksellinen
Suecia	Kvalificerat hemlig	Hemlig	Hemlig	Hemlig
Reino Unido	Top Secret	Secret	Confidential	Restricted.
(1) VS = Verschlusssache. (2) The classification Très Secret Défense, which covers governmental priority issues, may only be changed with the Prime Minister’s authorisation. (3) Stg = staatsgeheim.

Esta guía es indicativa y no debe interpretarse que modifica las disposiciones sustantivas expuestas en las secciones 16, 17, 20 y 21.

Clasificación

Cuándo

Quién

Marcados

Recalificación/Desclasificación/Destrucción

Quién

Cuándo

►M1 TRES SECRET UE/EU TOP SECRET ◄ :

Esta clasificación se aplicará únicamente a la información y al material cuya divulgación no autorizada pueda causar un perjuicio excepcionalmente grave a los intereses esenciales de la Unión Europea o de uno o más de sus Estados miembros [16.1].

Se existe la probabilidad de que poner en peligro materiales clasificados ►M1 TRES SECRET UE/EU TOP SECRET ◄ :

— amenace directamente la estabilidad interna de la UE o de uno de sus Estados miembros o países amigos,

— cause en perjuicio excepcionalmente grave a las relaciones con países amigos,

— ponga vidas en peligro directamente,

— ocasione un daño excepcionalmente grave a la capacidad de funcionar efectivamente o a la seguridad de las fuerzas de los Estados miembros o a las de otros contribuyentes, o haga que cese la efectividad de operaciones de seguridad o de inteligencia sumamente valiosas,

— cause un perjuicio grave a largo plazo a los intereses económicos de la UE o de los Estados miembros.

Personas debidamente autorizadas (autores), Directores Generales, Jefes de Servicio [17.1].

Los autores deberán especificar una fecha, plazo o momento en el que el contenido pueda ser recalificado o desclasificado [16.2]. En caso contrario, revisarán los documentos en un plazo máximo de cinco años para comprobar si la clasificación original sigue siendo necesaria [17.3].

La clasificación ►M1 TRES SECRET UE/EU TOP SECRET ◄ se aplicará a los documentos ►M1 TRES SECRET UE/EU TOP SECRET ◄ , cuando proceda, se pondrá una indicación de seguridad y/o el marcado de protección ESDP, por medios mecánicos y a mano [16.4, 16.5, 16.3].

La clasificación de la UE y las indicaciones de seguridad aparecerán en la parte central superior y central inferior de cada página. Todas las páginas irán numeradas. Todos los documentos clasificados de la UE llevarán número de referencia y fecha. Esta referencia deberá aparecer en todas las páginas.

Si se han de distribuir varias copias, cada una de ellas llevará un número de copia, que figurará en la primera página, junto con la indicación del número total de páginas. Todos los anexos y documentos adjuntos se indicarán en la primera página [21.1].

La clasificación o recalificación depende únicamente del autor, que informará de la modificación a los destinatarios subsiguientes a quienes se haya enviado el documento o una copia del mismo [17.3].

Los documentos ►M1 TRES SECRET UE/EU TOP SECRET ◄ serán distruidos por el Registo Central o registro secundario encargado de su custodia. Los documentos destruidos se relacionarán en un certificado de destrucción, firmado por el controlador ►M1 TRES SECRET UE/EU TOP SECRET ◄ y por el funcionario que haya precensiado la destrucción que tendrá la habilitación ►M1 TRES SECRET UE/EU TOP SECRET ◄ . En el libro de registro se hará un apunte al efecto. El registro conservará los certificados de destrucción, junto con los impresos de distribución, durante diez años [22.5].

Las copias y documentos sobrantes que ya no sean necesarios serán destruidos [22.5].

Los documentos ►M1 TRES SECRET UE/EU TOP SECRET ◄ , incluido todo el material sobrante clasificado que se haya utilizado para preparar documentos ►M1 TRES SECRET UE/EU TOP SECRET ◄ , como copias defectuosas, borradores de trabajo, notas mecanografiadas y papel carbón, serán destruidos bajo la supervisión de un controlador ►M1 TRES SECRET UE/EU TOP SECRET ◄ ; la destrucción se llevará a cabo quemándolos, convirtiéndolos en pasta, triturándolos o reduciéndolos de cualquier otro modo a un estado en que sean irreconocibles e irreconstruibles [22.5].

►M1 SECRET UE ◄ :

Si existe la probabilidad de que poner en peligro materiales clasificados ►M1 SECRET UE ◄ :

— cree tensiones internacionales,

— cause un perjuicio grave a las relaciones con gobiernos amigos,

— ponga vidas en peligro directamente o dañe gravemente el orden público o la seguridad o libertad individuales,

— socasione un daño grave a la capacidad de funcionar efectivamente o a la seguridad de las fuerzas de los Estados miembros o a las de otros contribuyentes, o haga que cese la efectividad de operaciones de seguridad o de inteligencia altamente valiosas,

— ocasione un considerable daño material a los intereses financieros, monetarios, económicos o comerciales de la UE o de uno de sus Estados miembros.

Personas autorizadas (autores), Directores Generales, Jefes de Servicio [17.1].

Los autores deberán especificar una fecha o plazo en que el contenido pueda ser recalificado o desclasificado [16.2]. En caso contrario, se revisarán los documentos en un plazo máximo de cinco años para comprobar si la clasificación original sigue siendo necesaria [17.3].

La clasificación ►M1 SECRET UE ◄ se aplicará a los documentos ►M1 SECRET UE ◄ y, cuando proceda, se pondrá una indicación de seguridad y/o un marcado de protección — ESDP, por medios mecánicos y a mano [16.4, 16.5, 16.3].

Las clasificaciones de la UE y las indicaciones de seguridad aparecerán en la parte central superior y centralinferior de cada página. Todas las páginas irán numeradas. Todos los documentos clasificados de la UE llevarán número de referencia y fecha; esta referencia deberá aparecer en todas las páginas.

La desclasificación o recalificación depende únicamente del autor, que informará de la modificación a los destinatarios subsiguientes a quienes se haya enviado el documento o una copia del mismo [17.3].

Los documentos ►M1 SECRET UE ◄ serán destruidos por el registro encargado de su custodia, bajo la supervisión de una persona con habilitación de seguridad. Los documentos ►M1 SECRET UE ◄ que sean destruidos se incluirán en certificados de destrucción firmados que se guardarán en el registro, junto con los impresos de destrucción, durante al menos tres años [22.5].

Las copias y documentos sobrantes que ya no sean necesarios serán destruidos [22.5].

Los documentos ►M1 SECRET UE ◄ , incluido todo el material sobrante clasificado que se haya utilizado para preparar documentos ►M1 SECRET UE ◄ , como copias defectuosas, borradores de trabajo, notas mecanografiadas y papel carbón, serán destruidos; la destrucción se llevará a cabo quemándolos, convirtiéndolos en pasta, triturándolos o reduciéndolos de cualquier otro modo a un estado en que sean irreconocibles e irreconstruibles [22.5].

►M1 CONFIDENTIEL UE ◄ :

Esta clasificación se aplicará únicamente a la información y al material cuya divulgación no autorizada pueda suponer un perjuicio para los intereses esenciales de la Unión Europea o de uno o más de sus Estados miembros [16.1].

Si existe la probabilidad de que poner en peligro materiales clasificados ►M1 CONFIDENTIEL UE ◄ :

— perjudique las relaciones diplomáticas, es decir, ocasione una protesta formal u otras sanciones;

— perjudique la seguridad o libertad individuales,

— perjudique la capacidad de funcionar efectivamente o la seguridad de las fuerzas de los Estados miembros o las de otros contribuyentes, o disminuya la efectividad de operaciones de seguridad o de inteligencia valiosas,

— menoscabe notablemente la viabilidad financiera de organizaciones importantes,

— impida la investigacón de delitos graves o facilite que se cometan,

— menoscabe notablemente los intereses financieros, económicos y comerciales de la UE o de sus Estados miembros,

— ponga graves obstáculos al desarrollo o al funcionamiento de políticas prioritarias de la UE,

— interrumpa o perturbe notablemente actividades importantes de la UE.

Personas autorizadas (autores), Directores Generales y Jefes de Servicio [17.1].

Los autores deberán especificar una fecha o plazo en que el contenido pueda ser recalificado o desclasificado. En caso contrario, revisarán los documentos en un plazo máximo de cinco años, para comprobar si la clasificación original sigue siendo necesaria [17.3].

La clasificación ►M1 CONFIDENTIEL UE ◄ se aplicará a los documentos ►M1 CONFIDENTIEL UE ◄ , y, cuando proceda, se pondrá la indicación de seguridad y/o el marcado de protección ESDP por medios mecánicos y a mano o mediante impresión en papel preestampillado y registrado [16.4, 16.5, 16.3].

Las clasificaciones de la UE figurarán en la parte central superior y central inferior de cada página; todas las páginas irán marcadas. Todos los documentos llevarán número de referencia y fecha.

Todos los anexos y documentos adjuntos se indicarán en la primera página [21.1].

La desclasificación o recalificación depende únicamente del autor, que informará de la modificación a los destinatarios subsiguientes a quienes se haya enviado el documentos o una copia del mismo [17.3].

Los documentos ►M1 CONFIDENTIEL UE ◄ serán destruidos por el registro encargado de su custodia bajo la supervisión de una persona habilitada. Se guardará constancia de su destrucción con arreglo a la normativa nacional y, en el caso de la Comisión o de los organismos descentralizados de la UE, con arreglo a las intrucciones del ►M2 miembro de la Comisión encargado de la seguridad ◄ [22.5].

Las copias y documentos sobrantes que ya no sean necesarios serán destruidos [22.5].

Los documentos ►M1 CONFIDENTIEL UE ◄ , incluido todo el material sobrante clasificado que se haya utilizado para preparar documentos ►M1 CONFIDENTIEL UE ◄ , como copias defectuosas, borradores de trabajo, notas mecanografiadas y papel carbón, serán destruidos; la destrucción, se llevará a cabo quemándolos, convertiéndolos en pasta, triturándolos o reduciéndolos de cualquier otro modo a un estado en que sean irreconocibles e irreconstruibles [22.5].

►M1 RESTREINT UE ◄ :

Esta clasificación se aplicará a la información y al material cuya divulgación no autorizada pueda resultar desfavorable para los intereses de la Unión Europea o de uno o más de sus Estados miembros [16.1].

Si existe la probabilidad de que poner en peligro materiales clasificados ►M1 RESTREINT UE ◄ :

— afecte desfavorablemente a las relaciones diplomáticas,

— cause un perjuicio considerable a particulares,

— dificulte el mantenimiento de la eficacia operativa o la seguridad de las fuerzas de los Estados miembros o de otros contribuyentes,

— ocasione pérdidas financieras o proporcione ganancias o ventajas endebidas a particulares o empresas,

— infrinja el compromiso de discreción respecto de información facilitada por terceros,

— infrinja las restricciones estatutarias sobre la revelación de información,

— dificulte la investigación de delitos o facilite que se cometan,

— ponga en desventaja a la UE o a sus Estados miembros en negociaciones comerciales o políticas con terceros,

— ponga obstáculos al desarrollo o al funcionamiento efectivos de politicas, de la UE,

— menoscabe la adecuada gestión de la UE y sus operaciones.

Personas autorizadas (autores), Directores Generales, Jefes de Servicio [17.1]

Los autores deberán especificar una fecha o plazo en que el contenido pueda ser recalificado o desclasificado [16.2]. En caso contrario, revisarán los documentos en un plazo máximo de cinco años, con el fin de comprobar si la clasificación original sigue siendo necesaria [17.3].

La clasificación ►M1 RESTREINT UE ◄ se aplicará a los documentos ►M1 RESTREINT UE ◄ y, cuando proceda, se aplicará una indicación de seguridad y/o un marcado de protección — ESDP, por medios mecánicos o electrónicos [16.4, 16.5 y 16.3].

La clasificación de la UE y las indicaciones de seguridad figurarán en la parte superior de la primera página; todas las paginas irán numeradas. Todos los documentos clasificados de la UE llevarán número de referencia y fecha [21.1].

Los documentos ►M1 RESTREINT UE ◄ serán destruidos por el registro encargado de su custodia o por el usuario, según las intrucciones del ►M2 miembro de la Comisión encargado de la seguridad ◄ [22.5].

Las copias y documentos sobrantes que ya no sean necesarios serán destruidos [22.5].

Directrices para la entrega de información clasificada de la UE a terceros países u Organizaciones Internacionales: cooperación de nivel 1

Directrices para la entrega de información clasificada de la UE a terceros países u Organizaciones Internacionales: cooperación de nivel 2

Directrices para la entrega de información clasificada de la UE a terceros países y Organizaciones Internacionales: cooperación de nivel 3

LISTA DE ABREVIATURAS

ANS	Autoridad nacional de seguridad
CCCC	Comisión Consultiva de Compras y Contratos
CISO	Responsable central de seguridad informática
COMPUSEC	Seguridad de los ordenadores
COMSEC	Seguridad de las comunicaciones
CSO	►M2 Dirección de Seguridad de la Comisión ◄
ESDP	Política europea común de seguridad y de defensa
IA	Autoridad INFOSEC
INFOSEC	Seguridad de la información
IO	Propietario de la información
ISO	Organización Internacional de Normalización
LISO	Responsable local de seguridad informática
LSO	Responsable local de seguridad
MSO	Responsable de seguridad de reunión
PC	Ordenador personal
RCO	Controlador de registro
SAA	Autoridad de acreditación en materia de seguridad
SecOPS	Procedimientos operativos de seguridad
SSRS	Requisitos específicos de seguridad del sistema
TI	Tecnología de la información
TSO	Propietario de los sistemastécnicos
▼M3
ASD	Autoridad de seguridad designada
CAS	Cláusula adicional de seguridad
FSI	Funcionario de seguridad de instalaciones
GCS	Guía de la clasificación de seguridad
HSI	Habilitación de seguridad de instalaciones
HSP	Habilitación de seguridad del personal

( 5 ) Sin perjuicio del Convenio de Viena de 1961 sobre las relaciones diplomáticas y del Protocolo sobre privilegios e inmunidades de las Comunidades Europeas de 8 de abril de 1965.

( 6 ) En el apéndice 1 figura un cuadro comparativo de los niveles de clasificación de seguridad de la UE, de la OTAN, de la UEO y de los Estados miembros.

		Diario Oficial
		No	page	date
►M1	DECISIÓN DE LA COMISIÓN de 3 de febrero de 2005	L 31	66	4.2.2005
►M2	DECISIÓN DE LA COMISIÓN de 31 de enero de 2006	L 34	32	7.2.2006
►M3	DECISIÓN DE LA COMISIÓN de 2 de agosto de 2006	L 215	38	5.8.2006

Índice
PARTE I:	PRINCIPIOS BÁSICOS Y NORMAS MÍNIMAS DE SEGURIDAD
1.	INTRODUCCIÓN
2.	PRINCIPIOS GENERALES
3.	FUNDAMENTOS DE LA SEGURIDAD
4.	PRINCIPIOS RELATIVOS A LA SEGURIDAD DE LA INFORMACIÓN
4.1.	Objetivos
4.2.	Definiciones
4.3.	Clasificación
4.4.	Objetivos de las medidas de seguridad
5.	ORGANIZACIÓN DE LA SEGURIDAD
5.1.	Normas mínimas comunes
5.2.	Organización
6.	SEGURIDAD DEL PERSONAL
6.1.	Habilitación del personal
6.2.	Registro de las habilitaciones del personal
6.3.	Instrucción del personal en materia de seguridad
6.4.	Responsabilidad de gestión
6.5.	Situación del personal en materia de seguridad
7.	SEGURIDAD FÍSICA
7.1.	Necesidad de protección
7.2.	Comprobación
7.3.	Seguridad de los edificios
7.4.	Planes de emergencia
8.	SEGURIDAD DE LA INFORMACIÓN
9.	LUCHA CONTRA EL SABOTAJE Y CONTROL DE OTRAS FORMAS DE DAÑO INTENCIONADO
10.	DIFUSIÓN DE INFORMACIÓN CLASIFICADA A TERCEROS PAÍSES Y ORGANIZACIONES INTERNACIONALES
PARTE II:	ORGANIZACIÓN DE LA SEGURIDAD EN LA COMISIÓN
11.	EL MIEMBRO DE LA COMISIÓN ENCARGADO DE LA SEGURIDAD
12.	EL GRUPO CONSULTIVO SOBRE POLÍTICA DE SEGURIDAD DE LA COMISIÓN
13.	EL COMITÉ DE SEGURIDAD DE LA COMISIÓN
14.	LA ►M2 DIRECCIÓN DE SEGURIDAD DE LA COMISIÓN ◄
15.	INSPECCIONES DE SEGURIDAD
16.	CLASIFICACIONES, INDICACIONES Y MARCADOS DE SEGURIDAD
16.1.	Niveles de clasificación
16.2.	Indicaciones de seguridad
16.3.	Marcados
16.4.	Estampación de la clasificación
16.5.	Estampación de las indicaciones de seguridad
17.	GESTIÓN DE LA CLASIFICACIÓN
17.1.	Aspectos generales
17.2.	Aplicación de las clasificaciones
17.3.	Recalificación y desclasificación
18.	SEGURIDAD FÍSICA
18.1.	Aspectos generales
18.2.	Requisitos de seguridad
18.3.	Medidas físicas de seguridad
18.3.1.	Zonas de seguridad
18.3.2.	Zona administrativa
18.3.3.	Control de entradas y salidas
18.3.4.	Patrullas de guardia
18.3.5.	Mobiliario de seguridad y cámaras acorazadas
18.3.6.	Cerraduras
18.3.7.	Control de las llaves y las combinaciones
18.3.8.	Dispositivos de detección de intrusos
18.3.9.	Equipohomologado
18.3.10.	Protección física de lasfotocopiadoras y delos telefax
18.4.	Protección contra miradas y escuchas indebidas
18.4.1.	Miradas indebidas
18.4.2.	Escuchas indebidas
18.4.3.	Introducción de aparatos electrónicos y de grabación
18.5.	Zonas técnicamente seguras
19.	NORMAS GENERALES SOBRE EL PRINCIPIO DE NECESIDAD DE CONOCER Y LA HABILITACIÓN DE SEGURIDAD DEL PERSONAL DE LA UE
19.1.	Aspectos generales
19.2.	Normas específicas sobre el acceso a información clasificada como TRES SECRET UE/EU TOP SECRET
	19.3. Normas específicas sobre el acceso a información clasificada como SECRET UE y CONFIDENTIEL UE
	19.4. Normas específicas sobre el acceso a información clasificada como RESTREINT UE
19.5.	Traslados
19.6.	Introducciones especiales
20.	PROCEDIMIENTO DE HABILITACIÓN DE SEGURIDAD DE LOS FUNCIONARIOS Y OTROS AGENTES DE LA COMISIÓN
21.	ELABORACIÓN, DIFUSIÓN, TRANSMISIÓN, SEGURIDAD DEL PERSONAL DE CORREO, COPIAS ADICIONALES, TRADUCCIONES Y EXTRACTOS DE DOCUMENTOS CLASIFICADOS DE LA UE
21.1.	Elaboración
21.2.	Difusión
21.3.	Transmisión de documentos clasificados de la UE
21.3.1.	Pliegos y acuses de recibo
21.3.2.	Transmisión dentro de un edificio o grupo de edificios
21.3.3.	Transmisión dentro de un país
21.3.4.	Transmisión de un Estado a otro
21.3.5.	Transmisión de documentos clasificados como RESTREINT UE
21.4.	Seguridad del personal de correo
21.5.	Medios técnicos de transmisión electrónicos y otros
21.6.	Copias adicionales, traducciones y extractos de documentos clasificados de la UE
22.	REGISTROS, COLECCIONES, CONTROLES, ALMACENAMIENTO EN ARCHIVOS Y DESTRUCCIÓN DE INFORMACIÓN CLASIFICADA DE LA UE
22.1.	Registros locales de información clasificada de la UE
22.2.	Registro TRES SECRET UE/EU TOP SECRET
22.2.1.	Aspectos generales
22.2.2.	Registro central TRES SECRET UE/EU TOP SECRET
22.2.3.	Registros secundarios TRES SECRET UE/EU TOP SECRET
22.3.	Inventarios, colecciones y controles de documentos clasificados de la UE
22.4.	Almacenamiento en archivos de información clasificada de la UE
22.5.	Destrucción de documentos clasificados de la UE
22.6.	Destrucción en situaciones de urgencia
23.	MEDIDAS DE SEGURIDAD APLICABLES A LAS REUNIONES ESPECÍFICAS CELEBRADAS FUERA DE LOS LOCALES DE LA COMISIÓN EN LAS QUE SE UTILICE INFORMACIÓN CLASIFICADA DE LA UE
23.1.	Aspectos generales
23.2.	Atribuciones
23.2.1.	►M2 Dirección de Seguridad de la Comisión ◄
23.2.2.	Responsable de seguridad de reunión
23.3	Medidas de seguridad
23.3.1.	Zonas de seguridad
23.3.2.	Pases
23.3.3.	Control de los equipos de fotografía y sonido
23.3.4.	Control de maletines, ordenadores portátiles y paquetes
23.3.5.	Seguridad técnica
23.3.6.	Documentos de las delegaciones
23.3.7.	Custodia segura de los documentos
23.3.8.	Control de los despachos
23.3.9.	Eliminación de los restos de documentos clasificados de la UE
24.	INFRACCIONES DE LA SEGURIDAD Y RIESGO A QUE SE EXPONE LA INFORMACIÓN CLASIFICADA DE LA UE
24.1.	Definiciones
24.2.	Notificación de las infracciones de la seguridad
24.3.	Acciones legales
25.	PROTECCIÓN DE LA INFORMACIÓN CLASIFICADA DE LA UE TRATADA EN LOS SISTEMAS DE TECNOLOGÍA DE LA INFORMACIÓN Y DE COMUNICACIÓN
25.1.	Introducción
25.1.1.	Aspectos generales
25.1.2.	Amenazas y vulnerabilidades de los sistemas
25.1.3.	Principal objetivo de las medidas de seguridad
25.1.4.	Enunciación de los requisitos específicos de seguridad del sistema (SSRS)
25.1.5.	Modos operativos de seguridad
25.2.	Definiciones
25.3.	Competencias en materia de seguridad
25.3.1.	Aspectos generales
25.3.2.	La Autoridad de acreditación en materia de seguridad (SAA)
25.3.3.	La AutoridadINFOSEC (IA)
25.3.4.	El propietario de los sistemas técnicos
25.3.5.	El propietario de la información (IO)
25.3.6.	Usuarios
25.3.7.	Formación INFOSEC
25.4.	Medidas de seguridad de carácter no técnico
25.4.1.	Seguridad de personal
25.4.2.	Seguridad física
25.4.3.	Control de acceso a un sistema
25.5.	Medidas de seguridad de carácter técnico
25.5.1.	Seguridad de la información
25.5.2.	Controly responsabilización de la información
25.5.3.	Tratamiento y control de los soportes informáticos extraíbles
25.5.4.	Desclasificación y destrucción de soportes informáticos
25.5.5.	Seguridad de las comunicaciones
25.5.6.	Seguridad en materia de instalación y radiaciones
25.6.	Seguridad durante el tratamiento
25.6.1.	Procedimientos operativos de seguridad (SecOPS)
25.6.2.	Gestión de la protección y configuración de los programas informáticos
25.6.3.	Control de la presencia de virus y programas informáticos destinados a causar daños
25.6.4.	Mantenimiento
25.7.	Adquisición
25.7.1.	Aspectos generales
25.7.2.	Acreditación
25.7.3.	Evaluación y certificación
25.7.4.	Control sistemático de los elementos de seguridad para una acreditación continua
25.8.	Utilización temporal u ocasional
25.8.1.	Seguridad de los microordenadores y de los ordenadores personales (PC)
25.8.2.	Utilización de equipos privados para trabajos oficiales de la Comisión
25.8.3.	Utilización de equipo perteneciente a un contratista facilitado por un país para un trabajo oficial de la Comisión
26.	ENTREGA DE INFORMACIÓN CLASIFICADA DE LA UE A TERCEROS PAÍSES U ORGANIZACIONES INTERNACIONALES
26.1.1.	Principios que rigen la comunicación de información clasificada de la UE
26.1.2.	Niveles
26.1.3.	Acuerdos en materia de seguridad
APÉNDICE 1:	COMPARACIÓN DE LAS CLASIFICACIONES DE SEGURIDAD NACIONALES
APÉNDICE 2:	GUÍA PRÁCTICA DE CLASIFICACIÓN
APÉNDICE 3:	DIRECTRICES PARA LA ENTREGA DE INFORMACIÓN CLASIFICADA DE LA UE A TERCEROS PAÍSES U ORGANIZACIONES INTERNACIONALES: COOPERACIÓN DE NIVEL 1
APÉNDICE 4:	DIRECTRICES PARA LA ENTREGA DE INFORMACIÓN CLASIFICADA DE LA UE A TERCEROS PAÍSES U ORGANIZACIONES INTERNACIONALES: COOPERACIÓN DE NIVEL 2
APÉNDICE 5:	DIRECTRICES PARA LA ENTREGA DE INFORMACIÓN CLASIFICADA DE LA UE A TERCEROS PAÍSES Y ORGANIZACIONES INTERNACIONALES: COOPERACIÓN DE NIVEL 3
APÉNDICE 6:	LISTA DE ABREVIATURAS