1.

Ez a melléklet a 7. cikk végrehajtására vonatkozó rendelkezéseket határoz meg. Különösen az annak meghatározására szolgáló kritériumokat állapítja meg, hogy egy adott személy – lojalitását, szavahihetőségét és megbízhatóságát figyelembe véve – engedélyt kaphat-e EU-minősített adatokhoz való hozzáférésre, és tartalmazza az e célból követendő vizsgálati és adminisztratív eljárásokat.

2.

E melléklet egészében – kivéve, ha az ettől való eltérés lényeges – a „személyi biztonsági tanúsítvány” az A. függelékben meghatározott nemzeti személyi biztonsági tanúsítvány (nemzeti PSC) és/vagy EU személyi biztonsági tanúsítvány (EU PSC).

3.

Egy adott személy csak akkor kaphat felhatalmazást a CONFIDENTIEL UE/EU CONFIDENTIAL vagy magasabb szintű minősített adatokhoz való hozzáférésre, ha:

4.

Az egyes tagállamok és a Főtitkárság meghatározzák szervezeti felépítésükben azokat a beosztásokat, amelyek CONFIDENTIEL UE/EU CONFIDENTIAL vagy magasabb szintű minősített adathoz való hozzáférést tesznek szükségessé, és ezért megfelelő szintű PSC-t igényelnek.

5.

A megfelelően engedélyezett kérelem kézhezvételét követően a nemzeti biztonsági felügyeletek vagy egyéb illetékes nemzeti hatóságok felelnek azért, hogy a CONFIDENTIEL UE/EU CONFIDENTIAL vagy magasabb szintű minősített adatokhoz való hozzáférést igénylő állampolgáraik biztonsági ellenőrzését elvégezzék. Az ellenőrzésre vonatkozó szabályoknak összhangban kell állniuk a nemzeti jogszabályokkal és rendelkezésekkel.

6.

Ha az érintett személy tartózkodási helye egy másik tagállam vagy egy harmadik állam területén van, az illetékes nemzeti hatóságok a nemzeti jogszabályokkal és rendelkezésekkel összhangban segítséget kérnek a tartózkodási hely szerinti állam illetékes hatóságától. A tagállamok a nemzeti jogszabályokkal és rendelkezésekkel összhangban segítséget nyújtanak egymásnak a biztonsági ellenőrzések elvégzéséhez.

7.

Amennyiben a nemzeti jogszabályok és rendelkezések megengedik, a nemzeti biztonsági felügyeletek vagy egyéb illetékes nemzeti hatóságok elvégezhetik a CONFIDENTIEL UE/EU CONFIDENTIAL vagy magasabb szintű minősített adatokhoz való hozzáférést igénylő, más állampolgárságú személyek biztonsági ellenőrzését. Az ellenőrzésre vonatkozó szabályoknak összhangban kell állniuk a nemzeti jogszabályokkal és rendelkezésekkel.

8.

Az adott személy lojalitásának, szavahihetőségének és megbízhatóságának a CONFIDENTIEL UE/EU CONFIDENTIAL vagy magasabb szintű minősített adatokhoz való hozzáférést engedélyező PSC megadása céljából történő értékelése biztonsági ellenőrzés keretében történik. Az illetékes nemzeti hatóság általános értékelést készít a biztonsági ellenőrzés eredményei alapján. Egyetlen kedvezőtlen eredmény nem szükségszerűen indokolja a PSC megtagadását. Az e célra használt alapvető kritériumok magukban foglalják – a nemzeti jogszabályok és rendelkezések szerint lehetséges mértékben – annak mérlegelését, hogy az adott személy:

9.

Adott esetben és a nemzeti jogszabályokkal és rendelkezésekkel összhangban az érintett személy pénzügyi és egészségügyi háttere is lényegesnek bizonyulhat a biztonsági ellenőrzés során.

10.

Adott esetben és a nemzeti jogszabályokkal és rendelkezésekkel összhangban a házastárs, az élettárs vagy a közeli hozzátartozók személyisége, viselkedése és körülményei szintén lényegesek lehetnek a biztonsági ellenőrzés során.

11.

A CONFIDENTIEL UE/EU CONFIDENTIAL és SECRET UE/EU SECRET minősítésű adatokhoz való hozzáférés engedélyezéséhez szükséges első PSC-nek legalább az utolsó öt évre vagy – attól függően, hogy melyik a rövidebb – 18 éves kortól az adott időpontig terjedő időszakra vonatkozó biztonsági ellenőrzésen kell alapulnia, amely az alábbiakat foglalja magában:

12.

A TRÈS SECRET UE/EU TOP SECRET minősítésű adatokhoz való hozzáférés engedélyezéséhez szükséges első PSC-nek legalább az utolsó tíz évre vagy – attól függően, hogy melyik a rövidebb – 18 éves kortól az adott időpontig terjedő időszakra vonatkozó biztonsági ellenőrzéseken kell alapulnia. Amennyiben az e) alpontban meghatározott személyes elbeszélgetésre kerül sor, az ellenőrzések legalább az utolsó hét évre vagy – attól függően, hogy melyik a rövidebb – 18 éves kortól az adott időpontig terjedő időszakot foglalják magukban. A fenti 8. pontban említett kritériumokon kívül az alábbi szempontokat kell megvizsgálni – a nemzeti jogszabályok és rendelkezések szerint lehetséges mértékben – a TRÈS SECRET UE/EU TOP SECRET PSC megadása előtt; ha a nemzeti jogszabályok és rendelkezések előírják, e szempontokat a CONFIDENTIEL UE/EU CONFIDENTIAL vagy SECRET UE/EU SECRET PSC megadása előtt is megvizsgálhatják:

13.

Szükség esetén és a nemzeti jogszabályokkal és rendelkezésekkel összhangban további ellenőrzést lehet folytatni annak érdekében, hogy a személyről minden hozzáférhető lényeges információt megszerezzenek, valamint hogy a kedvezőtlen információkat bizonyítsák vagy cáfolják.

14.

A PSC első megadását követően, valamint feltéve, hogy az adott személy a nemzeti közigazgatásban vagy a Főtitkárságnál folyamatos szolgálati jogviszonyban áll és folyamatosan szüksége van az EU-minősített adatokhoz való hozzáférésre, a PSC-t megújítás céljából – TRÈS SECRET UE/EU TOP SECRET szintű tanúsítvány esetén a tanúsítvány alapjául szolgáló utolsó biztonsági ellenőrzés eredményéről szóló értesítés időpontjától számítva legalább öt évenként, SECRET UE/EU SECRET és CONFIDENTIEL UE/EU CONFIDENTIAL szintű tanúsítvány esetén ezen időponttól számítva legalább tíz évenként – felül kell vizsgálni. A PSC megújításához szükséges valamennyi biztonsági ellenőrzésnek az előző ellenőrzés óta eltelt időszakra kell vonatkoznia.

15.

A PSC-k megújítása céljából a 11. és 12. pontban foglalt követelményeket kell megvizsgálni.

16.

A megújítás iránti kérelmeket időben be kell nyújtani, figyelembe véve a biztonsági ellenőrzések elvégzéséhez szükséges időtartamot. Mindazonáltal, amennyiben az érintett nemzeti biztonsági felügyelet vagy más illetékes nemzeti hatóság a PSC érvényességének lejárta előtt megkapja az annak megújítása iránti kérelmet és az ahhoz kapcsolódó személyi biztonsági kérdőívet, és a szükséges biztonsági ellenőrzés még nem zárult le, az illetékes nemzeti hatóság – amennyiben a nemzeti jogszabályok és rendelkezések megengedik – legfeljebb 12 hónapos időtartamra meghosszabbíthatja a meglévő PSC érvényességét. Amennyiben a biztonsági ellenőrzés e 12 hónapos időszak végére sem zárult le, az érintett személyt olyan feladatokkal kell megbízni, amelyekhez nem szükséges PSC.

17.

A Főtitkárság tisztviselői és egyéb alkalmazottai tekintetében a Főtitkárság biztonsági hatósága küldi el a kitöltött személyi biztonsági kérdőívet az érintett személy állampolgársága szerinti tagállam nemzeti biztonsági felügyeletének, és kéri, hogy végezzenek olyan minősítési szintű biztonsági ellenőrzést, amilyen szintű EU-minősített adatokhoz az érintett személynek hozzá kell férnie.

18.

Amennyiben olyan személy biztonsági ellenőrzésével kapcsolatos releváns információ jut a Főtitkárság tudomására, aki EU PSC-ért folyamodott, a Főtitkárság a vonatkozó szabályokkal és rendelkezésekkel összhangban értesíti erről az érintett nemzeti biztonsági felügyeletet.

19.

A biztonsági ellenőrzés elvégzését követően az érintett nemzeti biztonsági felügyelet a Biztonsági Bizottság által előírt egységes levelezési minta felhasználásával értesíti a Tanács Főtitkárságának biztonsági hatóságát a vizsgálat eredményéről.

20.

A biztonsági ellenőrzésre és a kapott eredményekre az érintett tagállamban hatályos megfelelő jogszabályok és rendelkezések vonatkoznak, beleértve az esetleges jogorvoslattal kapcsolatos rendelkezéseket is. A Főtitkárság kinevezésre jogosult hatóságának határozata ellen a 259/68/EGK, Euratom, Eszak rendeletben (1) foglalt, az Európai Unió tisztviselőinek személyzeti szabályzatával és az Európai Unió egyéb alkalmazottainak alkalmazási feltételeivel összhangban lehet fellebbezni (a továbbiakban: „személyzeti szabályzat és alkalmazási feltételek”).

21.

Az EU PSC az érintett által a Főtitkárságon vagy a Bizottságban végzett valamennyi feladat tekintetében érvényes, amennyiben az annak alapját képező vizsgálat megállapításai továbbra is érvényesek.

22.

Amennyiben az adott személy szolgálati jogviszonya a biztonsági ellenőrzés eredményéről a Főtitkárság kinevezésre jogosult hatóságának részére küldött értesítés dátumától számított 12 hónapon belül nem kezdődik meg, vagy amennyiben a szolgálati jogviszony 12 hónapig szünetel, és ez idő alatt a személy nem áll alkalmazásban a Főtitkárságnál vagy valamely tagállam nemzeti közigazgatási szerveinél, az érintett nemzeti biztonsági felügyelettől kell kérni annak megerősítését, hogy az eredmény továbbra is érvényes és megfelelő.

23.

Amennyiben egy EU PSC-vel rendelkező személy által jelentett biztonsági kockázattal kapcsolatos információ jut a Főtitkárság tudomására, a Főtitkárság a vonatkozó szabályokkal és rendelkezésekkel összhangban értesíti erről az érintett nemzeti biztonsági felügyeletet. Ha valamely nemzeti biztonsági felügyelet egy érvényes EU PSC-vel rendelkező személyre vonatkozó, a 19. pont a) alpontjával összhangban tett megállapítás visszavonásáról értesíti a Főtitkárságot, a Főtitkárság kinevezésre jogosult hatósága felkérheti az illetékes nemzeti biztonsági hatóságot, hogy ha a nemzeti jogszabályok és rendelkezések alapján módjában áll, adjon további felvilágosítást. Ha a kedvezőtlen információkat megerősítik, az EU PSC-t vissza kell vonni, és a személyt ki kell zárni az EU-minősített adatokhoz való hozzáférésből, valamint azokból a beosztásokból, amelyekben az ilyen hozzáférés lehetséges, vagy amelyekben a személy a biztonságot veszélyeztetheti.

24.

Az EU PSC főtitkársági tisztviselőtől vagy egyéb alkalmazottól való visszavonására vonatkozó határozatot és adott esetben annak indokait közölni kell az érintett személlyel, aki kérheti a kinevezésre jogosult hatóság általi meghallgatását. A nemzeti biztonsági felügyeletek által rendelkezésre bocsátott információkra az érintett tagállamban hatályos megfelelő jogszabályok és rendelkezések vonatkoznak, beleértve az esetleges jogorvoslattal kapcsolatos rendelkezéseket is. A Főtitkárság kinevezésre jogosult hatóságának határozata ellen a személyzeti szabályzattal és alkalmazási feltételekkel összhangban lehet fellebbezni.

25.

A Főtitkársághoz EU PSC-t igénylő beosztásba kirendelt nemzeti szakértőknek tevékenységük megkezdését megelőzően EU-minősített adathoz való hozzáféréshez szükséges, érvényes nemzeti PSC-t kell benyújtaniuk a Főtitkárság biztonsági hatóságához.

26.

Az EU-minősített adatokhoz való hozzáférést lehetővé tevő nemzeti és EU PSC-k nyilvántartását az egyes tagállamok, valamint a Főtitkárság vezeti. E nyilvántartásnak tartalmaznia kell legalább az EU-minősített adatok minősítési szintjét, amelyhez az adott személy részére hozzáférés biztosítható (CONFIDENTIEL UE/EU CONFIDENTIAL vagy magasabb), a PSC kibocsátásának dátumát és érvényességének időtartamát.

27.

Az illetékes biztonsági hatóság személyi biztonsági tanúsítványról szóló igazolást (PSCC) adhat ki, amely tartalmazza, hogy az adott személy milyen szintű EU-minősített adatokhoz férhet hozzá (CONFIDENTIEL UE/EU CONFIDENTIAL vagy magasabb), valamint tartalmazza a vonatkozó, EU-minősített adatokhoz való hozzáférést lehetővé tevő nemzeti vagy EU PSC érvényességi idejét és a tanúsítvány lejártának időpontját.

28.

A tagállamokban a feladatkörüknél fogva megfelelően felhatalmazott személyek EU-minősített adatokhoz való hozzáférését a nemzeti jogszabályokkal és rendelkezésekkel összhangban kell meghatározni; e személyeket tájékoztatni kell az EU-minősített adatok védelmével kapcsolatos biztonsági kötelezettségeikről.

29.

Minden személyi biztonsági tanúsítvánnyal rendelkező személynek írásban nyilatkoznia kell arról, hogy megértette az EU-minősített adatok védelmével kapcsolatos kötelezettségeit, valamint az EU-minősített adatok illetéktelen tudomására jutásának következményeit. Az ilyen írásbeli nyilatkozatokról a tagállamoknak, vagy adott esetben a Főtitkárságnak nyilvántartást kell vezetnie.

30.

Mindazon személyekben, akik engedéllyel rendelkeznek EU-minősített adatokhoz való hozzáférésre, vagy akiknek ilyen adatokat kell kezelniük, kezdetben, majd később rendszeres időközönként tudatosítani kell a biztonságot fenyegető veszélyeket, és e személyeknek haladéktalanul jelenteniük kell a megfelelő biztonsági hatóságoknak az általuk gyanúsnak vagy szokatlannak ítélt közeledést vagy tevékenységet.

31.

Bármely személyben, akit nem alkalmaznak tovább az EU-minősített adatokhoz való hozzáférést megkövetelő feladatok ellátására, tudatosítani kell az EU-minősített adatok folyamatos védelmével kapcsolatos kötelezettségét, és adott esetben az érintett személyeknek erről írásbeli nyilatkozatot kell tenniük.

32.

Amennyiben a nemzeti jogszabályok és rendelkezések lehetővé teszik, a nemzeti tisztviselők az adott tagállam illetékes nemzeti hatósága által a nemzeti minősített adatokhoz való hozzáférésre vonatkozóan megadott személyi biztonsági tanúsítvány alapján – az EU-minősített adatokhoz való hozzáférésre vonatkozó nemzeti PSC megadásáig ideiglenesen – a B. függelék egyenértékűségi táblázatában szereplő megfelelő szintig hozzáférhetnek az EU-minősített adatokhoz, amennyiben erre az ideiglenes hozzáférésre az EU érdekében szükség van. A nemzeti biztonsági felügyelet tájékoztatja a Biztonsági Bizottságot arról, ha a nemzeti jogszabályok és rendelkezések nem teszik lehetővé az EU-minősített adatokhoz való ideiglenes hozzáférést.

33.

A Főtitkárság kinevezésre jogosult hatósága – szükséghelyzetből adódóan, amennyiben azt a szolgálat érdekei kellően indokolják, és a teljes biztonsági ellenőrzés lezárulásáig az érintett állampolgársága szerinti tagállam nemzeti biztonsági felügyeletével folytatott konzultációt követően, valamint a kizáró tényezők hiányát kereső első vizsgálatok eredményére is figyelemmel – meghatározott feladat tekintetében ideiglenes engedélyt adhat a Főtitkárság tisztviselőinek és egyéb alkalmazottainak EU-minősített adatokhoz való hozzáférésre. Az ideiglenes engedély érvényességének időtartama legfeljebb hat hónap lehet, és nem teheti lehetővé a TRÈS SECRET UE/EU TOP SECRET minősítésű adatokhoz való hozzáférést. Minden ideiglenes engedéllyel rendelkező személynek írásban nyilatkoznia kell arról, hogy megértette az EU-minősített adatok védelmével kapcsolatos kötelezettségeit, valamint az EU-minősített adatok illetéktelen tudomására jutásának következményeit. Az ilyen írásbeli nyilatkozatokról a Főtitkárságnak nyilvántartást kell vezetnie.

34.

Amennyiben egy adott személyt olyan beosztásba készülnek kinevezni, amelyhez az érintett által jelenleg birtokoltnál eggyel magasabb szintű PSC szükséges, a kinevezés ideiglenes jelleggel végrehajtható, amennyiben:

35.

A fenti eljárás az annál eggyel magasabb szintű EU-minősített adatokhoz való hozzáférés megadására alkalmazandó, mint amilyen szintre vonatkozóan a személy biztonsági ellenőrzését elvégezték. Ez az eljárás nem alkalmazható ismétlődő jelleggel.

36.

Különösen kivételes körülmények között – például ellenséges környezetben végrehajtott missziók során vagy növekvő nemzetközi feszültség idején, amennyiben a sürgősségi intézkedések ezt megkívánják, különösen életmentés céljából – a tagállamok és a főtitkár vagy a főtitkárhelyettes lehetőség szerint írásban hozzáférést adhat CONFIDENTIEL UE/EU CONFIDENTIAL vagy SECRET UE/EU SECRET minősítésű információ adatokhoz olyan személyek számára, akik nem rendelkeznek a szükséges PSC-vel, feltéve, hogy ez az engedély feltétlenül szükséges, és nem merülnek fel megalapozott kétségek az érintett személy lojalitását, szavahihetőségét és megbízhatóságát illetően. A megadott engedélyt nyilvántartásba kell venni, és fel kell jegyezni, hogy milyen adatokhoz adtak hozzáférést.

37.

A TRÈS SECRET UE/EU TOP SECRET minősítésű adat esetében az ilyen sürgősségi hozzáférést olyan uniós polgárokra kell korlátozni, akik a TRÈS SECRET UE/EU TOP SECRET szint nemzeti megfelelőjéhez vagy SECRET UE/EU SECRET minősítésű adatokhoz hozzáféréssel rendelkeznek.

38.

A Biztonsági Bizottságot tájékoztatni kell azon esetekről, amikor a 36. és 37. pontban foglalt eljárást ismétlődő jelleggel alkalmazzák.

39.

Amennyiben egy tagállam nemzeti jogszabályai és rendelkezései szigorúbb szabályokat állapítanak meg az ideiglenes engedélyekkel, ideiglenes kinevezéssel, a minősített adatokhoz való egyszeri vagy sürgősségi hozzáféréssel kapcsolatban, az e szakaszban előírt eljárások csak a vonatkozó nemzeti jogszabályokban és rendelkezésekben foglalt korlátozásokkal alkalmazhatók.

40.

A Biztonsági Bizottság részére éves jelentést kell készíteni az e szakaszban meghatározott eljárások alkalmazásáról.

41.

A 28. pontra is figyelemmel, a Tanács vagy a Tanács előkészítő szerveinek CONFIDENTIEL UE/EU CONFIDENTIAL vagy magasabb szintű minősített adatokat tárgyaló ülésein a részvétellel megbízott személyek csak PSC-jük státusának megerősítését követően vehetnek részt. A tagállamok küldöttei esetében a PSCC-t vagy a PSC egyéb bizonyítékát a megfelelő hatóságok továbbítják a Főtitkárság Biztonsági Hivatalának, vagy azt kivételes esetben az érintett küldött is benyújthatja. Adott esetben összesített névjegyzék használható, amely a PSC meglétét bizonyítja.

42.

Amennyiben az EU-minősített adatokhoz való hozzáférésre szóló nemzeti PSC-t biztonsági okokból visszavonják egy olyan személytől, akinek feladatai megkövetelik a Tanács vagy a Tanács előkészítő szerveinek ülésein való részvételt, az illetékes hatóság tájékoztatja erről a Főtitkárságot.

43.

Amennyiben egyes személyeket olyan körülmények között alkalmaznak, amelyek között potenciálisan hozzáférnek a CONFIDENTIEL UE/EU CONFIDENTIAL vagy magasabb szintű minősített adatokhoz, e személyeknek megfelelő biztonsági ellenőrzésen kell átesniük, vagy mindenkor kísérettel kell ellátni őket.

44.

A futároknak, a biztonsági őröknek és a kísérőknek megfelelő szintű biztonsági ellenőrzésen kell átesniük, vagy a nemzeti jogszabályoknak és rendelkezéseknek megfelelő egyéb vizsgálaton kell átesniük, tájékoztatni kell őket az EU-minősített adatok védelmére szolgáló biztonsági eljárásokról és a rájuk bízott minősített adatok védelmét érintő feladataikról.

1.

Ez a melléklet a 8. cikk végrehajtására vonatkozó rendelkezéseket határoz meg. Megállapítja az olyan helyiségek, épületek, irodák, termek és egyéb területek – többek között a CIS-nek helyet adó területek – fizikai védelmének minimumkövetelményeit, ahol EU-minősített adatokat kezelnek és tárolnak.

2.

A fizikai biztonsági intézkedések célja az EU-minősített adatokhoz való jogosulatlan hozzáférés megakadályozása az alábbiak révén:

3.

A fizikai biztonsági intézkedéseket az illetékes hatóságok által elvégzett fenyegetésértékelés alapján kell megválasztani. A Főtitkárság és a tagállamok egyaránt kockázatkezelési eljárást alkalmaznak az EU-minősített adatoknak a saját területükön történő védelmére, a felmért kockázattal arányos mértékű fizikai védelem biztosítása érdekében. A kockázatkezelési folyamat figyelembe veszi az összes vonatkozó tényezőt, különösen az alábbiakat:

4.

A hatáskörrel rendelkező biztonsági hatóság a zónaszerű védelem elvének alkalmazásával meghatározza a végrehajtandó fizikai biztonsági intézkedések megfelelő kombinációját. Ezek közé az alábbiakban felsoroltak közül egy vagy több tartozhat:

5.

Az illetékes hatóság jogosult lehet a be- és kiléptetésnél átvizsgálást végezni a nem engedélyezett anyagok bevitelétől vagy EU-minősített adatoknak a helyiségből vagy épületből történő engedély nélküli kivitelétől való elrettentés céljából.

6.

Amennyiben EU-minősített adatokat – akár véletlenszerűen is – rálátás veszélye fenyeget, megfelelő intézkedéseket kell hozni e veszély kivédésére.

7.

Az új létesítmények esetében a fizikai biztonsági követelményeket és azok funkcionális jellemzőit már a létesítmények tervezése során meg kell határozni. A már meglevő létesítmény esetében a fizikai biztonsági követelményeket a lehető legteljesebb mértékben meg kell valósítani.

8.

Az EU-minősített adatok fizikai védelmét szolgáló felszerelések (például biztonsági tárolóeszközök, iratmegsemmisítő gépek, ajtózárak, elektronikus beléptető rendszerek, behatolásjelző-rendszerek, riasztórendszerek) beszerzésekor az illetékes hatóság biztosítja, hogy a felszerelések megfeleljenek a jóváhagyott műszaki szabványoknak és minimumkövetelményeknek.

9.

Az EU-minősített adatok fizikai védelmére szolgáló felszerelések műszaki jellemzőit a Biztonsági Bizottság által jóváhagyandó biztonsági iránymutatások tartalmazzák.

10.

A biztonsági rendszereket rendszeres időközönként ellenőrizni kell, a felszereléseket pedig rendszeresen karban kell tartani. A karbantartás során figyelembe kell venni az ellenőrzések eredményét annak biztosítása érdekében, hogy a felszerelések továbbra is a lehető leghatékonyabban működjenek.

11.

Az egyes biztonsági intézkedések és a teljes biztonsági rendszer hatékonyságát minden ellenőrzés során újra kell értékelni.

12.

Az EU-minősített adatok fizikai védelmére két típusú, fizikai védelemben részesülő terület – vagy azok nemzeti megfelelői – kerül megállapításra:

E határozatban az adminisztratív zónákra és a biztonsági területekre – így a technikailag biztosított biztonsági területekre – való valamennyi hivatkozás egyben azok nemzeti megfelelőire való hivatkozásként is értelmezendő.

13.

Az illetékes biztonsági hatóság megállapítja, hogy az adott terület megfelel-e az adminisztratív zónaként, biztonsági területként, technikailag biztosított biztonsági területként való kijelölés követelményeinek.

14.

Az adminisztratív zónák esetében:

15.

A biztonsági területek esetében:

16.

Amennyiben a biztosított területre való belépés az ott található minősített adatokhoz való közvetlen – bármilyen gyakorlati célt szolgáló – hozzáférést tesz lehetővé, az alábbi kiegészítő követelményeket kell alkalmazni:

17.

A lehallgatás ellen védett biztonsági területek a technikailag biztosított biztonsági terület megjelölést kapják. E területekre a következő kiegészítő követelmények vonatkoznak:

18.

A 17. pont d) alpontja ellenére minden kommunikációs, elektromos vagy elektronikus berendezést – mielőtt olyan területen használnák őket, ahol SECRET UE/EU SECRET vagy magasabb szintű minősített adatokat érintő üléseket tartanak vagy munkát végeznek, valamint az EU-minősített adatot fenyegető, nagy kockázatúnak értékelt veszély esetén – először az illetékes biztonsági hatóságnak meg kell vizsgálnia annak biztosítása érdekében, hogy ilyen berendezés révén véletlenül vagy tiltott módon ne közvetíthessenek értelmezhető adatokat az adott biztosított területen kívülre.

19.

Azokat a biztosított területeket, ahol nem tartózkodik napi 24 órán át munkavégző személyzet, adott esetben a rendes munkaidő végén ellenőrizni, valamint a rendes munkaidőn kívül szúrópróbaszerűen ellenőrizni kell, amenynyiben az említett területeken nem működik behatolásjelző rendszer.

20.

Biztonsági területeket és technikailag biztosított biztonsági területeket ideiglenesen is fel lehet állítani egy adminisztratív zónán belül, minősített üléshez vagy más hasonló célból.

21.

Minden egyes biztonsági terület tekintetében ki kell dolgozni a biztonsági szabályzatot, amely az alábbiakat tartalmazza:

22.

A biztonsági területeken megerősített helyiségeket kell kialakítani. Az illetékes biztonsági hatóságnak ellenőriznie kell a falakat, padlókat, plafonokat, ablakokat és zárható ajtókat, amelyek az ugyanilyen minősítési szintű EU-minősített adat tárolásához jóváhagyott tárolóeszköz által nyújtottal egyenértékű védelmet kell biztosítaniuk.

23.

Az olyan EU-minősített adatot, amely RESTREINT UE/EU RESTRICTED minősítésű, az alábbi helyeken lehet kezelni:

24.

Az olyan EU-minősített adatot, amely RESTREINT UE/EU RESTRICTED minősítésű, megfelelően zárható irodabútorokban kell tárolni igazgatási vagy biztosított területen. Ideiglenesen biztosított területen vagy igazgatási területen kívül is lehet tárolni, amennyiben az adat birtokosa vállalta, hogy eleget tesz az illetékes biztonsági hatóság által kiadott biztonsági utasításokban foglalt kiegészítő intézkedéseknek.

25.

Az olyan EU-minősített adatot, amely CONFIDENTIEL UE/EU CONFIDENTIAL vagy SECRET UE/EU SECRET minősítésű, az alábbi helyeken lehet kezelni:

26.

A CONFIDENTIEL UE/EU CONFIDENTIAL és SECRET UE/EU SECRET minősítésű adatot biztonsági területen kell tárolni biztonsági tárolóeszközben vagy megerősített helyiségben.

27.

A TRES SECRET UE/EU TOP SECRET minősítésű adatokat biztonsági területen kell kezelni.

28.

A TRES SECRET UE/EU TOP SECRET minősítésű adatokat biztonsági területen az alábbi módok valamelyike szerint kell tárolni:

29.

Az EU-minősített adatok fizikailag védett területeken kívüli szállítására vonatkozó szabályokat a III. melléklet tartalmazza.

30.

Az illetékes biztonsági hatóság meghatározza az irodák, termek, megerősített helyiségek és biztonsági tárolóeszközök kulcsainak és kombinációinak kezelésére vonatkozó eljárásokat. Ezek az eljárások a jogosulatlan hozzáféréssel szembeni védelmet biztosítják.

31.

A kombinációkat kívülről meg kell tanulnia annak a lehető legkisebb számú személyzetnek, akinek azokat ismernie kell. Az EU-minősített adatok tárolására szolgáló biztonsági tárolóeszközök és megerősített helyiségek kombinációit az alábbi esetekben meg kell változtatni:

1.

Ez a melléklet a 9. cikk végrehajtására vonatkozó rendelkezéseket határoz meg. Megállapítja az EU-minősített adat teljes életciklusán keresztüli ellenőrzésére szolgáló adminisztratív intézkedéseket az ilyen adat szándékos vagy véletlenszerű illetéktelen tudomására jutásától vagy elvesztésétől való elrettentéshez, annak észleléséhez és a kár helyreállításához való hozzájárulás érdekében.

2.

Az adatokat akkor kell minősíteni, ha a titkosságuk biztosításához védelemre van szükségük.

3.

Az EU-minősített adatok minősítési szintjének a megfelelő minősítési útmutató szerinti meghatározásáért és a címzettekhez történő továbbításáért az adat kibocsátója felel.

4.

Az EU-minősített adatok minősítési szintjét a 2. cikk (2) bekezdésével összhangban, valamint a 3. cikk (3) bekezdésével összhangban jóváhagyandó biztonsági politikára hivatkozással kell meghatározni.

5.

A minősítést és jelölést egyértelműen és helyesen fel kell tüntetni, tekintet nélkül arra, hogy az EU-minősített adat papír, szóbeli, elektronikus vagy egyéb formájú.

6.

Egy adott dokumentum egyes részei (például oldalai, bekezdései, szakaszai, mellékletei, függelékei, toldalékai és csatolmányai) eltérő minősítést igényelhetnek, és ennek megfelelő jelölést kell kapniuk, többek között az elektronikus formában történő tárolásuk alkalmával.

7.

A dokumentum vagy a fájl egésze a legmagasabb minősítési szintű rész minősítését kapja. Ha egy dokumentumot különböző forrásokból származó adatokból állítanak össze, a kész anyagot a minősítési szint meghatározása céljából át kell nézni, mivel összességében magasabb szintű minősítést igényelhet, mint külön-külön egyes részei külön-külön.

8.

A különböző minősítési szintű részeket tartalmazó dokumentumokat lehetőség szerint úgy kell szerkeszteni, hogy az eltérő minősítésű részek könnyen felismerhetők és szükség esetén leválaszthatók legyenek.

9.

A mellékleteket kísérő levél vagy feljegyzés ugyanolyan minősítést kap, mint legmagasabb minősítési szintű melléklete. A kibocsátónak megfelelő jelöléssel egyértelműen jeleznie kell, hogy a kísérő levél vagy feljegyzés milyen szintű minősítést kap, ha a mellékleteitől elválasztják, például a következő formában:

CONFIDENTIEL UE/EU CONFIDENTIAL

A RESTREINT UE/EU RESTRICTED minősítésű melléklet(ek) nélkül

10.

A 2. cikk (2) bekezdésében meghatározott minősítési jelölések mellett az EU-minősített adatok további jelölésekkel láthatók el, úgymint:

11.

Egy adott szöveg egyes bekezdései minősítési szintjének jelölésére egységes rövidített minősítési jelölések használhatók. A rövidítések nem helyettesítik a teljesen kiírt minősítési jelöléseket.

12.

Az EU-minősített dokumentumokon belül a szöveg egy oldalnál kisebb terjedelmű szakaszainak vagy részeinek minősítési szintje a következő egységes rövidítésekkel jelölhető:

13.

EU-minősített dokumentum létrehozásakor:

14.

Amennyiben az EU-minősített adatokra a 13. pont nem alkalmazható, a 6. cikk (2) bekezdése értelmében kialakítandó biztonsági iránymutatásoknak megfelelő intézkedéseket kell hozni.

15.

Az adat létrehozásakor – amennyiben lehetséges, és különösen RESTREINT UE/EU RESTRICTED minősítésű adat esetén – a kibocsátó jelöli, hogy adott időpontban vagy konkrét eseményt követően az EU-minősített adat visszaminősíthető-e vagy minősítése megszüntethető-e.

16.

A Főtitkárság rendszeresen felülvizsgálja az általa őrzött EU-minősített adatokat annak megállapítására, hogy minősítésük még érvényes-e. A Főtitkárság kialakít egy rendszert az általa kibocsátott, nyilvántartásban lévő EU-minősített adatok minősítésének legalább ötévenkénti felülvizsgálatára. Nincs szükség ilyen felülvizsgálatra akkor, ha a kibocsátó már kezdetben jelezte, hogy az adatot automatikusan vissza fogják minősíteni vagy a minősítését meg fogják szüntetni, és az adatot ennek megfelelően jelölték.

17.

A Főtitkárság vagy a tagállamok nemzeti közigazgatásai keretében működő, EU-minősített adatot kezelő valamennyi szervezeti egységénél nyilvántartót kell kialakítani, amely biztosítja, hogy az EU-minősített adatok kezelése e határozattal összhangban történjen. A nyilvántartókat a II. mellékletben meghatározott biztonsági területeken kell létrehozni.

18.

E határozat alkalmazásában a biztonsági célú nyilvántartásba vétel (a továbbiakban: nyilvántartásba vétel) olyan eljárások alkalmazása, amelyek során rögzítésre kerül az anyag életciklusa, beleértve a továbbítását és a megsemmisítését is.

19.

Valamennyi CONFIDENTIEL UE/EU CONFIDENTIAL és annál magasabb minősítésű anyagot a szervezeti egységhez való beérkezés vagy onnan történő elküldés alkalmával külön erre a célra szolgáló nyilvántartásokban kell kezelni.

20.

A Főtitkárság központi nyilvántartója nyilvántartást vezet a Tanács és a Főtitkárság által harmadik államok és nemzetközi szervezetek részére átadott valamennyi minősített adatról, valamint a harmadik államoktól vagy nemzetközi szervezetektől érkezett valamennyi minősített adatról.

21.

CIS esetében a végrehajtandó nyilvántartási eljárások a CIS-beli folyamatok keretében is elvégezhetők.

22.

A Tanács jóváhagyja az EU-minősített adatoknak biztonsági célú nyilvántartásba vételére vonatkozó biztonsági politikát.

23.

A tagállamokban és a Főtitkárságon ki kell jelölni a TRES SECRET UE/EU TOP SECRET minősítésű adatok központosított kézhez vételével és elosztásával megbízott központi nyilvántartót. Szükség esetén ennek alárendelt nyilvántartók is kijelölhetők ezen adatok nyilvántartására és kezelésére.

24.

Az alárendelt nyilvántartók nem továbbíthatnak közvetlenül TRES SECRET UE/EU TOP SECRET dokumentumokat az ugyanazon TRES SECRET UE/EU TOP SECRET minősítéssel rendelkező, központi nyilvántartóhoz tartozó többi alárendelt nyilvántartó számára vagy kifelé e központi nyilvántartó kifejezett írásbeli jóváhagyása nélkül.

25.

TRES SECRET EU/EU TOP SECRET minősítésű dokumentumok kizárólag a kibocsátó előzetes írásbeli hozzájárulásával másolhatók vagy fordíthatók le.

26.

Amennyiben a SECRET UE/EU SECRET és ennél alacsonyabb minősítésű dokumentumok kibocsátója a másolásra vagy fordításra vonatkozóan nem szabott korlátozásokat, e dokumentumok a titokbirtokos utasítására másolhatók vagy fordíthatók.

27.

Az eredeti dokumentumra vonatkozó biztonsági intézkedéseket a másolatokra és a fordításokra is alkalmazni kell.

28.

Az EU-minősített adatok szállítására a 30–40. pontban szereplő védelmi intézkedések vonatkoznak. Az EU-minősített adatok elektronikus eszközökön történő szállítása során – a 9. cikk (4) bekezdésétől eltérően – az alább előírt védelmi intézkedéseket – az elvesztés vagy az illetéktelen tudomására jutás kockázatának minimalizálása érdekében – kiegészíthetik az illetékes biztonsági hatóság által előírt, megfelelő technikai ellenintézkedések.

29.

A Főtitkárság és a tagállamok illetékes biztonsági hatóságai utasításokat bocsátanak ki az EU-minősített adatok e határozattal összhangban történő szállítására vonatkozóan.

30.

A valamely épületen vagy zárt épületcsoporton belül szállított EU-minősített adatokat az azok tartalmába való betekintés megakadályozása érdekében le kell takarni.

31.

TRES SECRET UE/EU TOP SECRET minősítésű adatokat adott épületen vagy zárt épületcsoporton belül lezárt borítékban kell szállítani, amelyen kizárólag a címzett neve tüntethető fel.

32.

Az EU-n belül épületek vagy létesítmények között szállított EU-minősített adatokat oly módon kell becsomagolni, hogy azok védettek legyenek az illetéktelen hozzáféréstől.

33.

A SECRET UE/EU SECRET szinttel bezárólag a minősített adatoknak az EU-n belüli szállítása az alábbi módok valamelyikén történik:

Egyik tagállamból másikba történő szállítás esetén a c) alpont rendelkezései kizárólag a CONFIDENTIEL UE/EU CONFIDENTIAL és annál alacsonyabb minősítésű adatokra alkalmazandók.

34.

Az olyan CONFIDENTIEL UE/EU CONFIDENTIAL és SECRET UE/EU SECRET minősítésű anyagokat (pl. gépek vagy berendezések), amelyek a 33. pontban említett módon nem szállíthatók, kereskedelmi fuvarozók az V. mellékletnek megfelelően szállítmányként szállítják.

35.

TRES SECRET UE/EU TOP SECRET minősítésű adatok szállítása az EU-n belül épületek vagy létesítmények között az adott esetnek megfelelően katonai, kormányzati vagy diplomáciai futár révén történik.

36.

Az EU-ból valamely harmadik állam területére szállított EU-minősített adatot úgy kell becsomagolni, hogy az védve legyen az illetéktelen hozzáféréstől.

37.

A CONFIDENTIEL UE/EU CONFIDENTIAL és a SECRET UE/EU SECRET minősítésű adatoknak az EU-ból valamely harmadik állam területére történő szállítása az alábbi módok valamelyikén történik:

38.

A CONFIDENTIEL UE/EU CONFIDENTIAL és a SECRET UE/EU SECRET minősítésű, az EU által harmadik ország vagy nemzetközi szervezet részére átadott adatok szállítását a 12. cikk (2) bekezdésének a), illetve b) pontja szerinti adatbiztonsági megállapodások vagy adminisztratív megállapodások vonatkozó rendelkezéseivel összhangban kell végezni.

39.

RESTREINT UE/EU RESTRICTED minősítésű adatok postaszolgálatok vagy kereskedelmi futárszolgálatok révén is szállíthatók.

40.

TRES SECRET UE/EU TOP SECRET minősítésű adatoknak az EU-ból harmadik állam területére történő szállítása katonai vagy diplomáciai futár útján történik.

41.

A már nem szükséges EU-minősített dokumentumok – az archiválásra vonatkozó szabályok és rendelkezések sérelme nélkül – megsemmisíthetők.

42.

A dokumentumok birtokosainak vagy az illetékes hatóságnak az utasítására a felelős nyilvántartó hivatal semmisíti meg azokat a dokumentumokat, amelyekre a 9. cikk (2) bekezdésével összhangban nyilvántartásba vétel vonatkozik. Az iktatókönyveket és egyéb nyilvántartásokat ennek megfelelő módon aktualizálni kell.

43.

A SECRET UE/EU SECRET vagy TRES SECRET UE/EU TOP SECRET minősítésű dokumentumok esetében a megsemmisítést tanú jelenlétében kell végrehajtani, akinek a megsemmisítendő dokumentum minősítési szintjével legalább megegyező minősítési szintű adatok megismerésére jogosító személyi biztonsági tanúsítvánnyal kell rendelkeznie.

44.

Az ügykezelő és – amennyiben annak jelenléte kötelező – a tanú aláírja a megsemmisítési jegyzőkönyvet, amelyet a nyilvántartóban kell iktatni. A nyilvántartó a megsemmisítési jegyzőkönyveket TRES SECRET UE/EU TOP SECRET minősítésű dokumentumok esetében legalább tíz évig, a CONFIDENTIEL UE/EU CONFIDENTIAL és a SECRET UE/EU SECRET minősítésű dokumentumok esetében pedig legalább öt évig őrzi meg.

45.

A minősített dokumentumokat – ideértve a RESTREINT UE/EU RESTRICTED minősítéssel rendelkezőket is – a vonatkozó EU vagy az ezzel egyenértékű szabványoknak, vagy a tagállamok által a nemzeti műszaki szabványokkal összhangban jóváhagyott szabványoknak megfelelően kell megsemmisíteni, megakadályozandó az adott dokumentum egészének vagy egy részének helyreállítását.

46.

Az EU-minősített adatok tárolására szolgáló számítógépes adathordozókat a IV. melléklet 36. pontjával összhangban kell megsemmisíteni.

47.

Az „ellenőrzés” szót a továbbiakban:

amelyek célja az EU-minősített adatok védelme tekintetében végrehajtott intézkedések hatékonyságának az értékelése.

48.

Ellenőrzéseket kell végezni többek között a következők céljából:

49.

A Tanács minden naptári év végéig elfogadja a következő évre vonatkozó, az 15. cikk (1) bekezdésének c) pontjában előírt ellenőrzési programot. Az egyes ellenőrzések tényleges időpontja az érintett uniós ügynökséggel vagy szervekkel, tagállammal, harmadik állammal vagy nemzetközi szervezettel egyetértésben kerül meghatározásra.

50.

Az ellenőrzések célja a vizsgált szervezetre vonatkozó szabályok, rendelkezések és eljárások, valamint annak ellenőrzése, hogy a szervezeti egységnél alkalmazott gyakorlatok megfelelnek-e az e határozatban és a minősített adatoknak az adott szervezettel való cseréjére vonatkozó rendelkezésekben foglalt alapelveknek és minimumszabályoknak.

51.

Az ellenőrzések végrehajtása két szakaszban történik. Maga az ellenőrzés előtt – adott esetben – előkészítő ülésre kerül sor az érintett szervezettel. Ezen előkészítő ülést követően az ellenőrző csoport – az érintett szervezettel egyetértésben – részletes ellenőrzési programot dolgoz ki, amely a biztonság valamennyi területére kiterjed. Az ellenőrző csoport hozzáféréssel rendelkezik minden olyan helyszínhez, ahol EU-minősített adatot kezelnek, különösen a nyilvántartókhoz és a CIS kapcsolódási pontjaihoz.

52.

A tagállamok nemzeti közigazgatása tekintetében végzett ellenőrzéseket a Főtitkárság és a Bizottság közös ellenőrző csoportja felelősségével, az ellenőrizendő szervezet tisztviselőivel teljes mértékben együttműködve kell végezni.

53.

A harmadik országok és nemzetközi szervezetek tekintetében végzett ellenőrzéseket a Főtitkárság és a Bizottság közös ellenőrző csoportja felelősségével, az ellenőrizendő harmadik állam vagy nemzetközi szervezet tisztviselőivel teljes mértékben együttműködve kell végezni.

54.

Az EUSZ V. címének II. fejezete alapján létrehozott EU-ügynökségeknél és -szerveknél, továbbá az Europolnál és Eurojustnál végzett ellenőrzéseket a Főtitkárság Biztonsági Hivatala végzi azon tagállam nemzeti biztonsági hatóságának szakértői segítségével, amelynek területén az ügynökség vagy a szerv található. Ebben az Európai Bizottság Biztonsági Igazgatósága (ECSD) is részt vehet, amennyiben rendszeresen cserél EU-minősített adatot az érintett ügynökséggel vagy szervvel.

55.

Az EUSZ V. címének II. fejezete alapján létrehozott EU-ügynökségeknél és -szerveknél, az Europolnál és Eurojustnál valamint a harmadik államoknál és nemzetközi szervezeteknél végzett ellenőrzések esetében a nemzeti biztonsági hatóság szakértőinek segítségét és hozzájárulását a Biztonsági Bizottság által meghatározandó részletes szabályokkal összhangban kell kérni.

56.

Az ellenőrzés végeztével a főbb következtetéseket és ajánlásokat ismertetni kell az ellenőrzött szervezettel. Ezt követően a Főtitkárság biztonsági hatóságának (a Biztonsági Hivatalnak) a felelőssége mellett az ellenőrzésről jelentést kell készíteni. Amennyiben korrekciós intézkedéseket javasolnak és ajánlásokat fogalmaznak meg, úgy a jelentésnek elegendő adatot kell tartalmaznia a levont következtetések alátámasztására. A jelentést továbbítani kell az ellenőrzött szervezet megfelelő hatósága részére.

57.

A tagállamok nemzeti közigazgatásában végrehajtott ellenőrzés esetében:

A Főtitkárság biztonsági hatóságának (Biztonsági Hivatalának) felelőssége mellett rendszeresen jelentést kell készíteni a tagállamokban egy adott időszakban végrehajtott ellenőrzésekből levont tanulságok kiemelése céljából, amely jelentést a Biztonsági Bizottságnak meg kell vizsgálnia.

58.

A harmadik államokban és nemzetközi szervezeteknél tett értékelő látogatások esetében a jelentést a Biztonsági Bizottságnak és az ECSD-nek kell továbbítani. A jelentésnek legalább RESTREINT UE/EU RESTRICTED minősítésűnek kell lennie. A nyomon követő látogatás során valamennyi korrekciós intézkedést ellenőrizni kell, és ezen intézkedésekről jelentést kell tenni a Biztonsági Bizottságnak.

59.

Az EUSZ V. címének II. fejezete alapján létrehozott EU-ügynökségeknél és -szerveknél, továbbá az Europolnál és az Eurojustnál végzett ellenőrzések esetén, az ellenőrzési jelentéseket továbbítani kell a Biztonsági Bizottság tagjainak és az ECSD-nek. Az ellenőrzési jelentés tervezetét eljuttatják az érintett ügynökséghez vagy szervhez a benne szereplő tények helyességének és annak ellenőrzésére, hogy az nem tartalmaz RESTREINT UE/EU RESTRICTED szintnél magasabb minősítésű adatokat. A nyomon követő látogatás során valamennyi korrekciós intézkedést ellenőrizni kell, és ezen intézkedésekről jelentést kell tenni a Biztonsági Bizottságnak.

60.

A Főtitkárság biztonsági hatósága a 48. pontban meghatározott célok érdekében rendszeres ellenőrzéseket folytat a Főtitkárság szervezeti egységeinél.

61.

A Főtitkárság biztonsági hatósága (a Biztonsági Hivatal) a biztonsági ellenőrzések során használandó, az ellenőrizendő elemeket tartalmazó ellenőrző listát készít és azt frissíti. Ezt az ellenőrző listát továbbítani kell a Biztonsági Bizottság részére.

62.

Az ellenőrző lista kitöltéséhez szükséges adatokat – különösen az ellenőrzés során – az ellenőrzött szervezet biztonsági vezetőitől kell beszerezni. Az ellenőrző listát a részletes kitöltést követően az ellenőrzött szervvel egyetértésben minősíteni kell. E lista nem képezi az ellenőrzési jelentés részét.

1.

Ez a melléklet a 10. cikk végrehajtására vonatkozó rendelkezéseket határoz meg.

2.

A CIS-ben folytatott műveletek biztonsága és helyes működése tekintetében alapvető fontosságúak az információvédelem következő jellemzői és szempontjai:

3.

Az alábbiakban foglalt rendelkezések képezik az EU-minősített adatokat kezelő minden CIS biztonságosságának alapját. E rendelkezések végrehajtásának részletes követelményeit az információvédelmi biztonsági előírások és biztonsági iránymutatások határozzák meg.

4.

A biztonsági kockázatkezelés a CIS meghatározásának, kialakításának, működtetésének és fenntartásának szerves részét képezi. A kockázatkezelést (értékelés, tulajdonképpeni kezelés, elfogadás, kommunikáció) ismétlődő folyamatként kell elvégezni, a rendszertulajdonosok, projekthatóságok, működtető hatóságok és biztonsági jóváhagyó hatóságok képviselőivel közösen, egy kipróbált, átlátható és teljes mértékben érthető kockázatértékelési folyamat alkalmazásával. A CIS alkalmazási körét és eszközeit a kockázatkezelési folyamat kezdetekor egyértelműen meg kell határozni.

5.

Az illetékes hatóságoknak át kell tekinteniük a CIS-t fenyegető potenciális veszélyeket, valamint naprakész és pontos, az aktuális működési környezetet tükröző fenyegetésértékeléssel kell rendelkezniük. A változó információtechnológiai környezettel való lépéstartás érdekében folyamatosan frissíteniük kell a sebezhetőségi kérdésekkel kapcsolatos ismereteiket, és rendszeresen felül kell vizsgálniuk a sebezhetőségi értékeléseket.

6.

A biztonsági kockázatkezelés célja olyan biztonsági intézkedések alkalmazása, melyek eredményeképpen kielégítő egyensúly teremthető a felhasználók igényei, a költségek és a fennmaradó biztonsági kockázatok között.

7.

Egy adott CIS akkreditálásának vonatkozásában a megfelelő biztonsági akkreditációs hatóság által meghatározott különös követelményeknek, nagyságrendnek és részletességnek arányban kell állnia a valamennyi vonatkozó tényező figyelembe vételével – a CIS-ben kezelt EU-minősített adatok minősítési szintjét is beleértve – megállapított kockázattal. Az akkreditáció magában foglalja a fennmaradó kockázat hivatalos megállapítását és a fennmaradó kockázatnak a felelős hatóság általi elfogadását.

8.

A biztonság a CIS teljes életciklusa alatt követelmény, az indítástól kezdve egészen a működésből való kivonásig.

9.

Az életciklus minden szakaszára meg kell állapítani a CIS-ben érintett egyes résztvevők biztonsági szerepét és a biztonság tekintetében a többi résztvevővel folytatott interakcióját.

10.

A CIS-t – a technikai és nem technikai biztonsági intézkedéseket is beleértve – az akkreditációs folyamat során biztonsági tesztelésnek kell alávetni a kellő biztonsági szintről való meggyőződés érdekében, valamint annak ellenőrzése céljából, hogy azt helyesen telepítették, integrálták és konfigurálták.

11.

A biztonsági értékeléseket, ellenőrzéseket és felülvizsgálatokat a CIS működése és karbantartása során, valamint rendkívüli körülmények felmerülése esetén rendszeresen ismételni kell.

12.

A CIS biztonsági dokumentációja az életciklusa alatt a változás- és konfigurációkezelés szerves részeként folyamatosan fejlődik.

13.

A Főtitkárság és a tagállamok együttműködnek a CIS-en kezelt EU-minősített adatok védelmére vonatkozó legjobb gyakorlat kialakítása érdekében. A legjobb gyakorlatra vonatkozó iránymutatások tartalmazzák a CIS-szel kapcsolatos, az adott fenyegetésekkel és sebezhetőségekkel szemben bizonyítottan hatékony technikai, fizikai, szervezeti és eljárási biztonsági intézkedéseket.

14.

A CIS-ben kezelt EU-minősített adatok védelme az információvédelemben részt vevő – az EU-n belüli és kívüli – szervezetek által levont tanulságokra épül.

15.

A legjobb gyakorlat terjesztése és azt követő végrehajtása hozzájárul a Főtitkárság és az EU-minősített adatot kezelő tagállamok által működtetett, különböző CIS-ek azonos biztonsági szintjének eléréséhez.

16.

A CIS-t fenyegető veszélyek enyhítése érdekében technikai és nem technikai biztonsági intézkedéseket kell végrehajtani, melyek többszörös biztonsági réteget alkotnak. E rétegek az alábbiak:

a)   elrettentés: a CIS megtámadását tervező bármely ellenség elrettentését célzó biztonsági intézkedések;

b)   megelőzés: a CIS megtámadásának megakadályozását célzó biztonsági intézkedések;

c)   észlelés: a CIS megtámadásának észlelését célzó biztonsági intézkedések;

d)   ellenálló képesség: a támadás hatásának az információk vagy CIS-eszközök minimumára való korlátozását és a további kár megelőzését célzó biztonsági intézkedések; és

e)   helyreállítás: a CIS biztonságos helyzetének helyreállítását célzó biztonsági intézkedések.

Az ilyen biztonsági intézkedések szigorúságának mértékét kockázatfelmérés alapján kell meghatározni.

17.

Az illetékes hatóságok biztosítják, hogy képesek legyenek a szervezeti vagy nemzeti határokon esetlegesen átnyúló eseményekre való reagálásra a reagálások összehangolása, valamint az ilyen eseményekről és a kapcsolódó kockázatokról való információcsere érdekében (számítógépes szükséghelyzeti válaszadási képességek).

18.

A szükségtelen kockázat elkerülése érdekében kizárólag a működési követelmények teljesítéséhez alapvetően szükséges funkcionalitásokat, eszközöket és szolgáltatásokat kell végrehajtani.

19.

A CIS felhasználói és az automatizált folyamatok kizárólag a feladataik elvégzéséhez szükséges hozzáférésekkel, kiváltságokkal vagy engedélyekkel rendelkezhetnek a balesetek, hibák vagy a CIS-erőforrások illetéktelen felhasználásából eredő károk korlátozása érdekében.

20.

A CIS által végrehajtott nyilvántartási eljárásokat – szükség esetén – az akkreditációs folyamat részeként ellenőrizni kell.

21.

A CIS biztonsága védelmének első vonalát a kockázatok és a rendelkezésre álló biztonsági intézkedések ismerete képezi. A CIS életciklusában érintett valamennyi személynek – a felhasználókat is beleértve – tudatában kell lennie különösen annak, hogy:

22.

A biztonsággal kapcsolatos felelősség ismeretének biztosítása érdekében valamennyi érintett személy – beleértve a vezető tisztviselőket és a CIS-felhasználókat is – számára kötelező információvédelmi oktatást és tudatosságnövelő képzést kell szervezni.

23.

A biztonsági intézkedések – védelmi szintként meghatározott – szükséges megbízhatósági szintjét a kockázatkezelési eljárás eredménye alapján és a vonatkozó biztonsági előírásokkal és biztonsági iránymutatásokkal összhangban kell meghatározni.

24.

A védelmi szintet nemzetközileg elismert vagy nemzeti szinten jóváhagyott folyamatok és módszerek alkalmazásával kell ellenőrizni. Ez elsősorban értékelés, ellenőrzés és auditálás lehet.

25.

Az EU-minősített adatok védelmére szolgáló kriptográfiai termékeket valamely tagállam nemzeti kriptográfiai jóváhagyó hatósága (CAA) értékeli és jóváhagyja.

26.

A Tanács vagy a főtitkár általi jóváhagyásra irányuló ajánlást megelőzően, a 10. cikk (6) bekezdésének megfelelően ezeket az EU-minősített adat védelmére szolgáló kriptográfiai termékeket a berendezés tervezésében vagy gyártásában részt nem vevő tagállam megfelelő minősítéssel rendelkező hatósága (AQUA) általi második értékelésnek kell alávetni, amelyen azoknak meg kell felelniük. A második értékelés során a vizsgálat részletessége az érintett termékek által védendő EU-minősített adat tervezett legmagasabb minősítési szintjétől függ. A Tanács a kriptográfiai termékek értékelésére és jóváhagyására vonatkozó biztonsági politikát hagy jóvá.

27.

A Tanács vagy a főtitkár – konkrét működési indokok alapján, adott esetben – a Biztonsági Bizottság ajánlására figyelmen kívül hagyhatja a 25. és a 26. pontban foglalt követelményeket, és meghatározott időtartamra ideiglenes jóváhagyást biztosíthat a 10. cikk (6) bekezdésében foglalt eljárással összhangban.

28.

A megfelelő minősítéssel rendelkező hatóság valamely tagállam kriptográfiai jóváhagyó hatósága, amely a Tanács által meghatározott szempontok alapján akkreditációt nyert az EU-minősített adatok védelmére szolgáló kriptográfiai termékek második értékelésének elvégzésére.

29.

A Tanács a nem kriptográfiai IT biztonsági termékek minősítésére és jóváhagyására vonatkozó biztonsági politikát hagy jóvá.

30.

E határozat rendelkezései ellenére, amennyiben az EU-minősített adatok továbbítása biztonságos területekre korlátozódik, rejtjelezetlen továbbítás vagy alacsonyabb szintű rejtjelezés alkalmazható a kockázatkezelési folyamat eredményére alapozva és a biztonsági akkreditációs hatóság jóváhagyásával.

31.

E határozat alkalmazásában a rendszerek összekapcsolása két vagy több információtechnológiai rendszer adatok és egyéb információforrások megosztása (pl. kommunikáció) céljából történő, egyirányú vagy többirányú, közvetlen összekapcsolását jelenti.

32.

A CIS valamennyi vele összekapcsolt információtechnológiai rendszert bizalmatlanul kezel, és a minősített adatok cseréjének ellenőrzése céljából védelmi intézkedéseket hajt végre.

33.

A CIS más információtechnológiai rendszerrel való minden összekapcsolása tekintetében a következő alapkövetelményeknek kell eleget tenni:

34.

Akkreditált CIS nem kapcsolható össze nem védett vagy nyilvános hálózattal, kivéve, ha a CIS jóváhagyott, a CIS és a nyilvános hálózat között e célból telepített határvédelmi szolgáltatással rendelkezik. Az ilyen összekapcsolásra vonatkozó biztonsági intézkedéseket az illetékes CIS információvédelmi hatóságnak felül kell vizsgálnia, és az illetékes biztonsági akkreditációs hatóságnak jóvá kell hagynia.

Amennyiben a nem védett vagy nyilvános hálózatot kizárólag adatközvetítésre használják, és az adatokat a 10. cikknek megfelelően jóváhagyott kriptográfiai termékkel kódolták, az ilyen kapcsolat nem tekintendő összekapcsolásnak.

35.

Tilos a TRES SECRET UE/EU TOP SECRET minősítésű adatok kezelésére akkreditált CIS közvetlen vagy kaszkád módon való összekapcsolása nem védett vagy nyilvános hálózattal.

36.

A számítógépes adathordozókat az illetékes biztonsági hatóság által jóváhagyott eljárásokkal összhangban meg kell semmisíteni.

37.

A számítógépes adathordozókat a 6. cikk (1) bekezdése szerint kidolgozandó biztonsági politikával összhangban kell újrafelhasználni vagy visszaminősíteni, továbbá e politikával összhangban kell a minősítésüket megszüntetni.

38.

Az e határozatban foglalt rendelkezések ellenére, szükséghelyzetben – például fenyegető vagy ténylegesen fennálló válság-, konfliktus- vagy háborús helyzetben – vagy rendkívüli üzemeltetési körülmények között az alábbiakban leírt különös eljárások alkalmazhatók.

39.

EU-minősített adatok az illetékes hatóság beleegyezésével továbbíthatók alacsonyabb minősítési szintre jóváhagyott kriptográfiai termékek felhasználásával vagy rejtjelezés nélkül, amennyiben a késedelem által okozott kár egyértelműen meghaladná a minősített adatok illetéktelen hozzáférhetővé tétele által okozott kárt, és ha:

40.

A 38. pontban meghatározott körülmények esetén továbbított minősített adat nem látható el olyan jelöléssel vagy jelzéssel, amely azt a nem minősített adatoktól vagy elérhető kriptográfiai eszköz által védhető adattól megkülönbözteti. Az átvevőket késedelem nélkül, egyéb módon értesíteni kell a minősítési szintről.

41.

Amennyiben a 38. pontban említett eljárás alkalmazására kerül sor, jelentést kell tenni az illetékes hatóságnak és a Biztonsági Bizottságnak.

42.

A tagállamok és a Főtitkárság a következő információvédelmi feladatköröket állapítják meg. E feladatkörök nem igényelnek külön szervezeti egységeket. Külön megbízatással kell rendelkezniük. Mindazonáltal, e feladatkörök és az azokat kísérő felelősségi körök ugyanazon szervezeti egységen belül kombinálhatók vagy integrálhatók, vagy különböző szervezeti egységek között lehet őket megosztani, feltéve hogy elkerülhető a belső összeférhetetlenség vagy a feladatok ütközése.

43.

Az információvédelmi hatóság felelős az alábbiakért:

44.

A TEMPEST-hatóság felelős azért, hogy a CIS megfeleljen a TEMPEST-politikáknak és -iránymutatásoknak. Megadja a jóváhagyást a működési környezetükben meghatározott minősítési szintig EU-minősített adatok védelmét szolgáló berendezésekre és termékekre vonatkozó TEMPEST-ellenintézkedésekre.

45.

A kriptográfiai jóváhagyó hatóság (CAA) felel annak biztosításáért, hogy a kriptográfiai termékek megfeleljenek a nemzeti kriptográfiai politikának, vagy a Tanács kriptográfiai politikájának. A kriptográfiai termékek tekintetében megadja a jóváhagyást arra, hogy azok működési környezetükben meghatározott minősítési szintig EU-minősített adatokat részesítsenek védelemben. A tagállamok tekintetében a CAA felel továbbá a kriptográfiai termékek értékeléséért is.

46.

A kriptográfiai terjesztési hatóság (CDA) felelős az alábbiakért:

47.

Minden egyes rendszer biztonsági akkreditációs hatósága a következő feladatokat látja el:

48.

A Főtitkárság biztonsági akkreditációs hatósága felel a Főtitkárság hatáskörében működő valamennyi CIS akkreditálásáért.

49.

A tagállamok érintett biztonsági akkreditációs hatósága felel a tagállamok hatáskörében működő CIS-ek és azok rendszerelemeinek akkreditálásáért.

50.

Közös biztonsági akkreditációs bizottság (SAB) felel a mind a Főtitkárság, mind a tagállamok biztonsági akkreditációs hatóságai hatáskörébe tartozó CIS akkreditálásáért. A SAB az egyes tagállamok biztonsági akkreditációs hatóságainak képviselőiből áll, és ülésein részt vesz a Bizottság biztonsági akkreditációs hatóságának egy képviselője. A CIS-hez kapcsolódó egyéb szervezetek meghívást kapnak az adott rendszerrel foglalkozó ülésekre.

A SAB elnöke a Főtitkárság biztonsági akkreditációs hatóságának a képviselője. A SAB a CIS-hez kapcsolódó intézmények, tagállamok és más szervezetek biztonsági akkreditációs hatóságai képviselőinek konszenzusos határozatai alapján jár el. Rendszeres időközönként jelentést tesz tevékenységeiről a Biztonsági Bizottságnak, és azt valamennyi akkreditációs tanúsítványról értesíti.

51.

Minden egyes rendszer információvédelmi üzemeltetési hatósága felelős az alábbiakért:

1.

Ez a melléklet a 11. cikk végrehajtására vonatkozó rendelkezéseket határoz meg. A melléklet meghatározza Főtitkárság által odaítélt minősített szerződések megkötését megelőző tárgyalások és a szerződések teljes életciklusa során a gazdálkodó vagy más szervezetekre alkalmazandó általános biztonsági rendelkezéseket.

2.

A Tanács az iparbiztonságra vonatkozó politikát hagy jóvá, amely felvázolja különösen a telephely biztonsági tanúsítványokra, a biztonsági mellékletre, a látogatásokra, az EU-minősített adatok továbbítására és szállítására vonatkozó részletes követelményeket.

3.

A pályázati felhívás kiírását vagy a minősített szerződés odaítélését megelőzően a Főtitkárság szerződő hatóságként meghatározza a pályázók és vállalkozók részére nyújtandó bármely adat biztonsági minősítését, valamint a vállalkozó által létrehozandó bármely adat biztonsági minősítését. E célból a Főtitkárság elkészíti a szerződés teljesítése során alkalmazandó SCG-t.

4.

A minősített szerződés különféle elemeire vonatkozó biztonsági minősítések meghatározása érdekében az alábbi elveket kell alkalmazni:

5.

A szerződésspecifikus biztonsági követelményeket biztonsági mellékletben (SAL) kell leírni. Adott esetben a SAL tartalmazza az SCG-t, és a minősített vállalkozói vagy alvállalkozói szerződésnek szerves részét képezi.

6.

A SAL tartalmazza a vállalkozók és alvállalkozók részére az e határozatban foglalt minimumszabályok teljesítését előíró rendelkezéseket. A minimumszabályok be nem tartása elegendő indokot jelenthet a szerződés felbontására.

7.

Az EU-minősített adatokhoz való hozzáférést, vagy azok kezelését vagy tárolását magában foglaló program vagy projekt hatályának függvényében a program vagy projekt irányítására kijelölt szerződő hatóság az adott programra/projektre vonatkozó biztonsági utasításokat (PSI) dolgozhat ki. A PSI-hez a tagállamoknak a programban/projektben részt vevő nemzeti biztonsági hatósága/kijelölt biztonsági hatósága vagy bármely más illetékes biztonsági hatóság általi jóváhagyás szükséges, és a PSI-k további biztonsági követelményeket tartalmazhatnak.

8.

Az FSC-t a tagállam nemzeti biztonsági hatósága/kijelölt biztonsági hatósága vagy bármely más illetékes biztonsági hatósága bocsátja ki annak jelzésére, hogy – a nemzeti jogszabályokkal és rendelkezésekkel összhangban – egy gazdálkodó vagy más szervezet képes az EU-minősített adatnak a telephelyükön, megfelelő minősítési szinten (CONFIDENTIEL UE/EU CONFIDENTIAL vagy SECRET UE/EU SECRET) való védelmére. A tanúsítványt be kell mutatni a Tanács Főtitkárságának mint a szerződő hatóságnak, mielőtt egy vállalkozó, alvállalkozó vagy potenciális vállalkozó vagy alvállalkozó számára az EU-minősített adathoz való hozzáférést biztosítanának vagy engedélyeznének.

9.

Az FSC kiállításakor a megfelelő NSA vagy DSA legalább:

10.

Adott esetben a Főtitkárság szerződő hatóságként értesíti a megfelelő nemzeti vagy kijelölt biztonsági hatóságot vagy bármely más illetékes biztonsági hatóságot, hogy a szerződést megelőző szakaszban vagy a szerződés teljesítéséhez FSC-re van szükség. FSC-re vagy PSC-re akkor van szükség a szerződéskötés előtti szakaszban, ha a pályázati eljárás során CONFIDENTIEL UE/EU CONFIDENTIAL vagy SECRET UE/EU SECRET minősítésű adatot kell átadni.

11.

A szerződő hatóság nem köthet minősített szerződést a megfelelőnek tartott pályázóval azt megelőzően, hogy kézhez kapná az érintett vállalkozó vagy alvállalkozó bejegyzésének helye szerinti tagállam nemzeti biztonsági hatósága/kijelölt biztonsági hatósága által kiállított megerősítést arról, hogy szükség szerint megfelelő FSC-vel rendelkeznek.

12.

Az FSC-t kibocsátó nemzeti vagy kijelölt biztonsági hatóság vagy bármely más illetékes biztonsági hatóság az FSC-t érintő bármely változásról értesíti a Főtitkárságot mint szerződő hatóságot. Alvállalkozói szerződés esetén a nemzeti vagy kijelölt biztonsági hatóságot, illetve bármely egyéb illetékes biztonsági hatóságot ennek megfelelően tájékoztatni kell.

13.

Az FSC-nek az adott nemzeti vagy kijelölt biztonsági hatóság vagy bármely más illetékes biztonsági hatóság általi visszavonása elegendő indokot szolgáltat a Főtitkárságnak mint szerződő hatóságnak a minősített szerződés megszüntetésére vagy a pályázónak a versenyből való kizárására.

14.

Amikor egy pályázó részére a szerződést megelőző szakaszban EU-minősített adatot adnak át, a pályázati felhívásnak tartalmaznia kell egy olyan kitételt, amely azt a pályázót, aki végül nem nyújtja be pályázatát, vagy akit nem választanak ki, arra kötelezi, hogy adott időn belül valamennyi minősített dokumentumot szolgáltassa vissza.

15.

Amint sor kerül egy minősített vállalkozói vagy alvállalkozói szerződés odaítélésére, a Főtitkárság szerződő hatóságként értesíti a vállalkozó vagy alvállalkozó nemzeti vagy kijelölt biztonsági hatóságát vagy bármely más illetékes biztonsági hatóságát a minősített szerződés biztonsági előírásairól.

16.

Amennyiben egy ilyen szerződést megszüntetnek, a Főtitkárság szerződő hatóságként (és/vagy a nemzeti vagy kijelölt biztonsági hatóság vagy adott esetben bármely más illetékes biztonsági hatóság, alvállalkozói szerződés esetén) késedelem nélkül értesíti azon tagállam nemzeti vagy kijelölt biztonsági hatóságát vagy bármely más illetékes biztonsági hatóságát, amelyben a vállalkozót vagy alvállalkozót bejegyezték.

17.

Általános szabály, hogy a vállalkozó vagy alvállalkozó a minősített vállalkozói vagy alvállalkozói szerződés lejártát követően köteles valamennyi EU-minősített adatot visszaszolgáltatni a szerződő hatóságnak

18.

Az EU-minősített adatoknak a szerződés teljesítése során vagy a szerződés lejártával történő megsemmisítésére vonatkozó egyedi rendelkezéseket a SAL-ban kell lefektetni.

19.

Amennyiben a vállalkozó vagy alvállalkozó engedélyt kap az EU-minősített adatok megtartására a szerződés lejártát követően, továbbra is be kell tartani az e határozatban foglalt minimumszabályokat, és a vállalkozónak vagy alvállalkozónak védenie kell az EU-minősített adatok bizalmasságát.

20.

A pályázati kiírás és a szerződés határozza meg azon feltételeket, amelyek szerint a vállalkozó alvállalkozói szerződést köthet.

21.

Mielőtt a vállalkozó a minősített szerződés bármely részére alvállalkozókat szerződtetne, ehhez engedélyt kér a Főtitkárságtól mint szerződő hatóságtól. Nem köthető alvállalkozói szerződés az olyan nem uniós államban bejegyzett gazdálkodó vagy más szervezetekkel, amely nem kötött adatbiztonsági megállapodást az EU-val.

22.

A vállalkozó felel annak biztosításáért, hogy minden alvállalkozói tevékenységet az e határozatban foglalt minimumszabályokkal összhangban folytassanak, és az alvállalkozó részére nem ad át EU-minősített adatot vagy anyagot az azt kibocsátó előzetes írásbeli engedélye nélkül.

23.

A vállalkozó vagy az alvállalkozó által létrehozott vagy kezelt EU-minősített adatok tekintetében a kibocsátót megillető jogokat a szerződő hatóság gyakorolja.

24.

Amennyiben a Főtitkárságnak, a vállalkozóknak vagy az alvállalkozóknak egy minősített szerződés teljesítéséhez egymás telephelyén CONFIDENTIEL UE/EU CONFIDENTIAL vagy SECRET UE/EU SECRET minősítésű adathoz kell hozzáférniük, a látogatásokat a nemzeti vagy kijelölt biztonsági hatóságokkal vagy bármely más érintett illetékes biztonsági hatósággal összeköttetésben kell megszervezni. Egyes meghatározott projektekre vonatkozóan azonban a nemzeti vagy kijelölt biztonsági hatóságok megállapodhatnak egy olyan eljárásról, amely alapján közvetlenül meg lehet szervezni e látogatásokat.

25.

Minden látogatónak megfelelő PSC-vel kell rendelkeznie, és teljesítenie kell a „szükséges ismeret” feltételét a Főtitkárság szerződésével kapcsolatos EU-minősített adatokhoz való hozzáféréshez.

26.

A látogatók csak a látogatás céljához kapcsolódó EU-minősített adatokhoz kapnak hozzáférést.

27.

Az EU-minősített adatok elektronikus úton történő továbbítása tekintetében a 10. cikk és a IV. melléklet vonatkozó rendelkezéseit kell alkalmazni.

28.

Az EU-minősített adatok szállítására a III. melléklet vonatkozó rendelkezéseit kell alkalmazni, a nemzeti jogszabályokkal és rendelkezésekkel összhangban.

29.

Az EU-minősített adatok szállítmányként való szállítása biztonsági előírásainak meghatározása során az alábbi elveket kell alkalmazni:

30.

Az EU-minősített adat harmadik államokban működő vállalkozók vagy alvállalkozók részére való átadása a Főtitkárság mint szerződő hatóság és azon érintett harmadik állam nemzeti vagy kijelölt biztonsági hatósága vagy más illetékes biztonsági hatósága által elfogadott biztonsági intézkedésekkel összhangban történik, ahol a vállalkozót bejegyezték.

31.

A Főtitkárság mint szerződő hatóság adott esetben a tagállam nemzeti vagy kijelölt biztonsági hatóságával összeköttetésben a szerződéses rendelkezések alapján látogatásokat tehet a vállalkozók/alvállalkozók létesítményeibe annak ellenőrzése céljából, hogy a RESTREINT UE/EU RESTRICTED szintű minősítéssel rendelkező adatok védelméhez szükséges, a szerződésben előírt biztonsági intézkedéseket megvalósították.

32.

A nemzeti jogszabályok és rendelkezések szerint szükséges mértékben a Tanács Főtitkárságának mint szerződő hatóságnak értesítenie kell a nemzeti vagy kijelölt biztonsági hatóságokat vagy bármely más illetékes biztonsági hatóságot a RESTREINT UE/EU RESTRICTED minősítésű adatot tartalmazó szerződésekről és alvállalkozói szerződésekről.

33.

A RESTREINT UE/EU RESTRICTED minősítésű adatot magukban foglaló, a Főtitkárság által odaítélt szerződések esetén az FSC, illetve PSC nem kötelező a vállalkozók, alvállalkozók és alkalmazottaik számára.

34.

A Főtitkárság mint szerződő hatóság megvizsgálja azon szerződésekre kiírt pályázati felhívásokra érkezett válaszokat, amelyek RESTREINT UE/EU RESTRICTED minősítésű adatokhoz való hozzáférést igényelnek, a nemzeti jogszabályok és rendelkezések értelmében az FSC-vel és a PSC-vel kapcsolatban esetleg meglévő bármely követelmény sérelme nélkül.

35.

Azon feltételeknek, amelyek alapján a vállalkozó alvállalkozót szerződtethet, összhangban kell lenniük a 21. ponttal.

36.

Amennyiben egy adott szerződés RESTREINT UE/EU RESTRICTED minősítési szintű adatok vállalkozó által működtetett CIS-ben (kommunikációs és információs rendszer) való kezelésére is kiterjed, a Főtitkárság mint szerződő hatóság biztosítja, hogy a szerződés vagy alvállalkozói szerződés meghatározza a CIS akkreditálásához szükséges, valamennyi kockázati tényezőre kiterjedő technikai és adminisztratív követelményeket. Az ilyen CIS akkreditációjának hatályáról a szerződő hatóság és az érintett nemzeti vagy kijelölt biztonsági hatóság állapodik meg.

1.

Ez a melléklet a 12. cikk végrehajtására vonatkozó rendelkezéseket határoz meg.

2.

Amennyiben a Tanács a minősített adatok cseréjének hosszú távú szükségességét állapítja meg:

a 12. cikk (2) bekezdésének és a III. és IV. szakasznak megfelelően és a Biztonsági Bizottság ajánlása alapján.

3.

Amikor KBVP -művelet céljára előállított EU-minősített adatoknak ilyen műveletben részt vevő harmadik államok vagy nemzetközi szervezetek részére történő átadására kerül sor, és amennyiben a 2. pontban említett keretszabályok egyike sem létezik, EU-minősített adatoknak a részt vevő harmadik állammal vagy nemzetközi szervezettel való cseréjét az V. szakasszal összhangban az alábbiak szabályozzák:

4.

A 2. és 3. pontban említett keretszabályozás hiányában, és amennyiben az EU-minősített adatok harmadik állam vagy nemzetközi szervezet részére való átadásáról rendkívüli ad hoc alapon, a VI. szakasznak megfelelően döntenek, írásbeli biztosítékot kell kérni az érintett harmadik államtól vagy nemzetközi szervezettől annak biztosítására, hogy az a részére átadott EU-minősített adatokat az e határozat alapelveinek és minimumszabályainak megfelelő védelemben részesíti.

5.

Az adatbiztonsági megállapodások megállapítják a minősített adatoknak az EU és harmadik államok vagy nemzetközi szervezetek közötti cseréjére irányadó alapelveket és minimumszabályokat.

6.

Az adatbiztonsági megállapodások rendelkeznek technikai végrehajtási szabályokról is, amelyeket a Tanács Főtitkárságának Biztonsági Hivatala, az ECSD és a szóban forgó harmadik állam vagy nemzetközi szervezet illetékes biztonsági hatósága közösen alakít ki. A végrehajtási szabályok figyelembe veszik az érintett harmadik állam vagy nemzetközi szervezet hatályos biztonsági szabályai, struktúrái és eljárásai által biztosított védelmi szintet. Azokat a Biztonsági Bizottságnak jóvá kell hagynia.

7.

Az EU-minősített adatok elektronikus eszközökkel történő cseréje nem megengedett, kivéve ha az adatbiztonsági megállapodás vagy a technikai végrehajtási szabályok erről kifejezetten rendelkeznek.

8.

Az adatbiztonsági megállapodás előírja, hogy a minősített adatoknak az adott megállapodás szerinti cseréjét megelőzően a Tanács Főtitkárságának Biztonsági Hivatala és az ECSD egyetért abban, hogy az átvevő fél képes a neki átadott adatok megfelelő védelmére és megőrzésére.

9.

Amikor a Tanács adatbiztonsági megállapodást köt, mindkét félnek a minősített adatok cseréjének fő beérkezési és kiküldési helyeként működő nyilvántartó hivatalt kell kijelölnie.

10.

Az érintett harmadik állam vagy nemzetközi szervezet biztonsági szabályai, struktúrái és eljárásai hatékonyságának megállapítása céljából kölcsönös megállapodás alapján a Tanács Főtitkárságának Biztonsági Hivatala és az ECSD értékelő látogatásokat tesz az érintett harmadik állammal vagy nemzetközi szervezettel való kölcsönös megállapodás alapján. Az ilyen értékelő látogatásokat a III. melléklet vonatkozó rendelkezéseivel összhangban kell lebonyolítani, és a látogatások során az alábbiak értékelését kell elvégezni:

11.

Az EU nevében értékelő látogatást végző csoport értékeli, hogy a kérdéses harmadik államban vagy nemzetközi szervezetben fennálló biztonsági szabályok és eljárások megfelelőek-e az EU-minősített adatokhoz igazodó szintű védelmére.

12.

E látogatások megállapításait jelentésbe kell foglalni, amelynek alapján a Biztonsági Bizottság az érintett harmadik féllel papír formátumban és adott esetben elektronikus úton kicserélhető EU-minősített adatok legmagasabb szintjét, valamint az adott féllel folytatott csere különös feltételeit meghatározza.

13.

A hatályos biztonsági rendszer jellegének és hatékonyságának megállapítása érdekében minden erővel törekedni kell a teljes biztonsági értékelő látogatásnak az érintett harmadik államban vagy nemzetközi szervezetben való lebonyolítására azt megelőzően, hogy a Biztonsági Bizottság jóváhagyja a végrehajtási szabályokat. Amennyiben azonban ez nem lehetséges, a Tanács Főtitkárságának Biztonsági Hivatala a rendelkezésére álló információk alapján a lehető legteljesebb jelentést készíti a Biztonsági Bizottság számára, amelyben tájékoztatást ad az adott harmadik államban vagy nemzetközi szervezetben alkalmazandó biztonsági szabályokról és a biztonság megszervezésének módjáról.

14.

A Biztonsági Bizottság dönthet úgy, hogy az értékelő látogatás eredményének megvizsgálásáig EU-minősített adatokat nem lehet átadni, vagy kizárólag egy meghatározott szintig lehet átadni, vagy más külön feltételeket állapíthat meg az adott harmadik ország vagy nemzetközi szervezet számára történő EU-minősített adatok átadása tekintetében. A Főtitkárság Biztonsági Hivatala értesíti erről az illető harmadik államot vagy nemzetközi szervezetet.

15.

A Főtitkárság Biztonsági Hivatala – az érintett harmadik állammal vagy nemzetközi szervezettel kölcsönös egyetértésben – rendszeres időközönként nyomon követő értékelő látogatásokat tesz annak ellenőrzése érdekében, hogy a hatályos szabályok továbbra is megfelelnek a jóváhagyott minimumszabályoknak.

16.

Az adatbiztonsági megállapodás hatályba lépését és azt követően, hogy sor került a minősített adatoknak az érintett harmadik állammal vagy nemzetközi szervezettel való cseréjére, a Biztonsági Bizottság – különösen valamely nyomon követő értékelő látogatás alapján – dönthet úgy, hogy módosítja a papír formátumban vagy elektronikus úton kicserélhető EU-minősített adatok legmagasabb szintjét.

17.

Amennyiben harmadik állammal vagy nemzetközi szervezettel általános szabályként legfeljebb RESTREINT UE/EU RESTRICTED minősítési jelölésű adatok hosszú távú cseréjére van szükség, és amennyiben a Biztonsági Bizottság megállapította, hogy az érintett fél nem rendelkezik kellőképpen fejlett biztonsági rendszerrel ahhoz, hogy lehetséges legyen az adatbiztonsági megállapodás megkötése, a főtitkár – a Tanács általi jóváhagyás függvényében – adminisztratív megállapodást köthet a szóban forgó harmadik állam vagy nemzetközi szervezet megfelelő hatóságaival.

18.

Amennyiben működési okokból gyorsan kell kialakítani a minősített adatok cseréjének keretét, a Tanács kivételesen határozhat úgy, hogy magasabb minősítési szintű adatok cseréjére vonatkozóan adminisztratív megállapodást köt.

19.

Az adminisztratív megállapodást általában levélváltás formájában kötik.

20.

Le kell folytatni a 10. pontban említett értékelő látogatást, és a jelentést továbbítani kell a Biztonsági Bizottságnak, amelynek azt megfelelőnek kell ítélnie azt megelőzően, hogy az EU-minősített adatot ténylegesen átadják az adott harmadik államnak vagy nemzetközi szervezetnek. Amennyiben azonban rendkívüli okok indokolják az EU-minősített adatok sürgős cseréjét, amelyeket a Tanács tudomására hoztak, az EU-minősített adat átadható azzal a feltétellel, hogy megtesznek mindent annak érdekében, hogy a lehető leghamarabb sor kerüljön az értékelő látogatásra.

21.

Az EU-minősített adatok elektronikus eszközökkel történő cseréje csak akkor megengedett, ha az adminisztratív megállapodás erről kifejezetten rendelkezik.

22.

Harmadik államok és nemzetközi szervezetek KBVP-műveletekben való részvételét részvételi keretmegállapodások szabályozzák. E megállapodások az EBVP-művelet céljára előállított EU-minősített adatoknak a részt vevő harmadik államok vagy nemzetközi szervezetek részére történő átadására vonatkozó rendelkezéseket is tartalmaznak. A kicserélhető EU-minősített adatok legmagasabb minősítési szintje polgári KBVP-műveletek esetén a RESTREINT UE/EU RESTRICTED szint, míg katonai KBVP-műveletek esetén a CONFIDENTIEL EU/EU CONFIDENTIAL szint, kivéve ha az adott KBVP-művelet létrehozásáról szóló határozat más szintet határoz meg.

23.

Az adott KBVP-művelet vonatkozásában megkötött ad hoc részvételi megállapodások az EBVP-művelet céljára előállított EU-minősített adatoknak a részt vevő harmadik állam vagy nemzetközi szervezet részére történő átadására vonatkozó rendelkezéseket is tartalmaznak. A kicserélhető EU-minősített adatok legmagasabb minősítési szintje polgári KBVP-műveletek esetén a RESTREINT UE/EU RESTRICTED szint, míg katonai KBVP-műveletek esetén a CONFIDENTIEL EU/EU CONFIDENTIAL szint, kivéve ha az adott KBVP-művelet létrehozásáról szóló határozat más szintet határoz meg.

24.

Valamely harmadik állam vagy nemzetközi szervezet konkrét KBVP-műveletben való részvételéről szóló ad hoc adminisztratív megállapodás többek között a művelet céljaira létrehozott EU-minősített adatoknak az adott harmadik állam vagy nemzetközi szervezet részére történő átadására is kiterjedhet. Az ilyen ad hoc adminisztratív megállapodásokat a IV. szakasz 17. és 18. pontjában foglalt eljárásoknak megfelelően kell megkötni. A kicserélhető EU-minősített adatok legmagasabb minősítési szintje polgári KBVP-műveletek esetén a RESTREINT UE/EU RESTRICTED szint, míg katonai KBVP-műveletek esetén a CONFIDENTIEL EU/EU CONFIDENTIAL szint, kivéve ha az adott KBVP-művelet létrehozásáról szóló határozat más szintet határoz meg.

25.

Az EU-minősített adatoknak a 22., 23. és 24. pont összefüggésében való átadására vonatkozó rendelkezések végrehajtása előtt nincs szükség végrehajtási szabályok meghozatalára vagy értékelő látogatásokra.

26.

Amennyiben a fogadó állam, amelynek területén az KBVP-műveletet folytatják, nem kötött az EU-val minősített adatok cseréjére vonatkozó adatbiztonsági vagy adminisztratív megállapodást, vele konkrét és azonnali műveleti igény felmerülése esetén ad hoc adminisztratív megállapodás köthető. Erről a lehetőségről az KBVP-művelet létrehozásáról szóló határozatban rendelkezni kell. Az ilyen körülmények között átadott EU-minősített adatok az KBVP-művelet céljaira létrehozott adatokra korlátozódnak, és minősítésük legfeljebb RESTREINT UE/EU RESTRICTED lehet. Az ilyen ad hoc adminisztratív megállapodás értelmében a fogadó állam vállalja az EU-minősített adatok olyan minimumszabályok szerinti védelmét, amelyek nem kevésbé szigorúak az e határozatban megállapítottaknál.

27.

A 22–24. pontban említett, a minősített adatokra vonatkozó, a részvételi keretmegállapodásba, az ad hoc megállapodásba és az ad hoc adminisztratív megállapodásba illesztendő rendelkezések előírják, hogy az adott harmadik állam vagy nemzetközi szervezet biztosítja, hogy a művelethez kirendelt személyi állománya az EU-minősített adatokat a Tanács Biztonsági Szabályzatának és az illetékes hatóságok, köztük a művelet parancsnoki lánca által adott további iránymutatásoknak megfelelően védi.

28.

Ha ezt követően az EU és a részt vevő harmadik állam vagy nemzetközi szervezet adatbiztonsági megállapodást köt, az adatbiztonsági megállapodás az EU-minősített adatok cseréje és kezelése tekintetében hatálytalanít bármely részvételi keretmegállapodást, ad hoc részvételi megállapodást és ad hoc adminisztratív megállapodást.

29.

Harmadik állammal vagy nemzetközi szervezettel kötött részvételi keretmegállapodás, ad hoc részvételi megállapodás vagy ad hoc adminisztratív megállapodás keretében EU-minősített adatok elektronikus eszközökkel történő cseréje nem megengedett, kivéve ha a szóban forgó megállapodás erről kifejezetten rendelkezik.

30.

KBVP-művelet céljára előállított EU-minősített adatok a 22–29. ponttal összhangban tehetők a harmadik állam vagy nemzetközi szervezet részéről az adott művelethez kirendelt személyi állomány által hozzáférhetővé. Az KBVP-művelet helyszínén vagy CIS-ében az ilyen személyzet EU-minősített adatokhoz való hozzáférésének engedélyezésekor megfelelő intézkedéseket kell alkalmazni (pl. a hozzáférhetővé tett EU-minősített adatok naplózása) az adatok elvesztése vagy illetéktelen tudomására jutása kockázatának csökkentésére. Ezeket az intézkedéseket a megfelelő tervezési vagy missziós dokumentumokban kell meghatározni.

31.

Amennyiben a III–V. szakasz szerinti keret nem létezik, ám a Tanács vagy előkészítő szerveinek egyike úgy ítéli meg, hogy EU-minősített adatok harmadik állam vagy nemzetközi szervezet részére való átadásának rendkívüli szükségessége merült fel, a Főtitkárság:

32.

Amennyiben a Biztonsági Bizottság ajánlása támogatja az EU-minősített adatok átadását, az ügyet az Állandó Képviselők Bizottsága (COREPER) elé kell utalni, amely meghozza az adatok átadására vonatkozó döntést.

33.

Ha a Biztonsági Bizottság ajánlása nem támogatja az EU-minősített adatok átadását:

34.

Amennyiben célszerűnek ítéli, valamint a kibocsátó előzetes írásbeli jóváhagyására is figyelemmel, a COREPER dönthet úgy, hogy a minősített adatok csak részben vagy kizárólag előzetes visszaminősítés esetén vagy a minősítés előzetes feloldásával adhatók át, vagy hogy az átadandó adatokat a forrásra vagy az eredeti EU minősítési szintre való utalás nélkül kell előkészíteni.

35.

Az EU-minősített adatok átadására vonatkozó döntést követően a Főtitkárság továbbítja az érintett dokumentumot, amelyen szerepel az átvevő harmadik államot vagy nemzetközi szervezetet feltüntető átadásra jogosító jelölés is. A tényleges átadást megelőzően vagy annak alkalmával az adott harmadik fél írásban kötelezettséget vállal az átvett EU-minősített adatoknak az e határozatban megállapított alapelvek és minimumszabályok szerinti védelmére.

36.

Amennyiben létezik a minősített adatok harmadik államokkal vagy nemzetközi szervezetekkel való cseréjének 2. pont szerinti kerete, a Tanács határozatot hoz, amelyben a főtitkárt felhatalmazza az EU-minősített adatoknak az érintett harmadik állam vagy nemzetközi szervezet részére történő, a kibocsátó beleegyezésének elvével összhangban álló átadására.

37.

Amennyiben létezik a minősített adatok harmadik államokkal vagy nemzetközi szervezetekkel való cseréjének 3. pont szerinti kerete, a főtitkár felhatalmazást kap EU-minősített adatoknak az KBVP-művelet létrehozásáról szóló együttes fellépéssel és a kibocsátó beleegyezésének elvével összhangban álló átadására.

38.

A főtitkár ezt a felhatalmazást átruházhatja a Főtitkárság valamely vezető tisztviselőjére vagy a felügyelete alatt álló más személyre.

Autorité nationale de Sécurité

SPF Affaires étrangères, Commerce extérieur et Coopération au Développement

15, rue des Petits Carmes

B-1000 Bruxelles

Titkársági telefonszám: + 32/2/501 45 42

Fax: + 32/2/501 45 96

E-mail: nvo-ans@diplobel.fed.be

Politiets Efterretningstjeneste

(Dán Biztonsági Hírszerző Szolgálat)

Klausdalsbrovej 1

DK-2860 Søborg

Tel.: +45 33148888

Fax: +45 33430190

Forsvarets Efterretningstjeneste

(Dán Védelmi Hírszerző Szolgálat)

Kastellet 30

DK-2100 Copenhagen Ø

Tel.: +45 33325566

Fax: +45 33931320

State Commission on Information Security (Állami Információbiztonsági Bizottság)

90 Cherkovna Str.

BG-1505 Sofia

Telefonszám: +359 29215911

Fax: +359 29873750

E-mail: dksi@government.bg

Internetes honlap: www.dksi.bg

Bundesministerium des Innern

Referat ÖS III 3

Alt-Moabit 101 D

D-11014 Berlin

Tel.: +49 30186810

Fax: +49 30186811441

E-mail: oesIII3@bmi.bund.de

Národní bezpečnostní úřad

(National Security Authority)

Na Popelce 2/16

CZ-150 06 Praha 56

Tel.: +420 257283335

Fax: +420 257283110

E-mail: czech.nsa@nbu.cz

Internetes honlap: www.nbu.cz

National Security Authority Department

Estonian Ministry of Defence (Észt Védelmi MinisztériumNemzeti Biztonságfelügyeleti Osztály)

Sakala 1

EE-15094 Tallinn, Estonia

Tel.: +372 7170113, +372 7170117

Fax: +372 7170213

E-mail: nsa@kmin.ee

National Security Authority

Department of Foreign Affairs

76 - 78 Harcourt Street

Dublin 2 Írország

Tel.: +353 14780822

Fax: +353 14082959

Autoridad Nacional de Seguridad

Oficina Nacional de Seguridad

Avenida Padre Huidobro s/n

E-28023 Madrid

Tel.: +34 913725000

Fax: +34 913725808

E-mail: nsa-sp@areatec.com

Γενικό Επιτελείο Εθνικής Άμυνας (ΓΕΕΘΑ)

Διακλαδική Διεύθυνση Στρατιωτικών Πληροφοριών (ΔΔΣΠ)

Διεύθυνση Ασφαλείας και Αντιπληροφοριών

ΣΤΓ 1020 -Χολαργός (Αθήνα)

Ελλάδα

Tel.: +30 2106572045 (ώρες γραφείου)

+ 30 2106572009 (ώρες γραφείου)

Fax: +30 2106536279

+ 30 2106577612

Hellenic National Defence General Staff (HNDGS)

Military Intelligence Sectoral Directorate

Security Counterintelligence Directorate (Görög Nemzeti Védelmi Főtitkárság Katonai Hírszerzés Főigazgatóság Biztonsági Igazgatóság – Elhárítás)

GR-STG 1020 Holargos – Athens

Tel.: +30 2106572045

+30 2106572009

Fax: +30 2106536279

+30 2106577612

Secrétariat général de la défense et de la sécurité nationale

Sous-direction Protection du secret (SGDSN/PSD)

51 Boulevard de la Tour-Maubourg

F-75700 Paris 07 SP

Telefon: +33 171758177

Fax: + 33 171758200

Presidenza del Consiglio dei Ministri

Autorità Nazionale per la Sicurezza

D.I.S. - U.C.Se.

Via di Santa Susanna, 15

I-00187 Roma

Tel.: +39 0661174266

Fax: +39 064885273

National Security Authority

Constitution Protection Bureau of the Republic of Latvia (A Lett Köztársaság Alkotmányvédelmi Hivatalának Nemzeti Biztonsági Hatósága)

P.O.Box 286

LV-1001 Riga

Tel.: +371 67025418

Fax: +371 67025454

E-mail: ndi@sab.gov.lv

ΥΠΟΥΡΓΕΙΟ ΑΜΥΝΑΣ

ΣΤΡΑΤΙΩΤΙΚΟ ΕΠΙΤΕΛΕΙΟ ΤΟΥ ΥΠΟΥΡΓΟΥ

Εθνική Αρχή Ασφάλειας (ΕΑΑ)

Υπουργείο Άμυνας

Λεωφόρος Εμμανουήλ Ροΐδη 4

1432 Λευκωσία, Κύπρος

Tel.: +357 22807569, +357 22807643, +357 22807764

Fax: +357 22302351

Ministry of Defence

Minister’s Military Staff

National Security Authority (NSA) (Védelmi Minisztérium Katonai Törzs Nemzeti Biztonsági Hatóság (NSA))

4 Emanuel Roidi street

CY-1432 Nicosia

Tel.: +357 22807569, +357 22807643, +357 22807764

Fax: +357 22302351

E-mail: cynsa@mod.gov.cy

Lietuvos Respublikos paslapčių apsaugos koordinavimo komisija

(The Commission for Secrets Protection Coordination of the Republic of Lithuania

National Security Authority)

Gedimino 40/1

LT-01110 Vilnius

Tel.: +370 52663201, +370 52663202

Fax: +370 52663200

E-mail: nsa@vsd.lt

Autorité nationale de Sécurité

Boîte postale 2379

L-1023 Luxembourg

Tel.: +352 24782210 central

+352 24782253 direct

Fax: +352 24782243