(1)   Prezenta decizie stabilește rolurile și responsabilitățile principalilor actori din domeniul securității care sunt responsabili de protecția informațiilor UE clasificate (IUEC) în cadrul Comisiei în temeiul Deciziilor (UE, Euratom) 2015/443 și (UE, Euratom) 2015/444.

(2)   Prezenta decizie se aplică tuturor departamentelor Comisiei și în toate sediile acesteia.

(1)   Directorul Direcției Securitate din cadrul Direcției Generale Resurse Umane și Securitate este Autoritatea de securitate a Comisiei (Commission Security Authority – CSA), menționată la articolul 7 din Decizia (UE, Euratom) 2015/444.

(2)   CSA își îndeplinește funcțiile în următoarele domenii, astfel cum se prevede în Decizia (UE, Euratom) 2015/444, în conformitate cu articolele 3-7 din prezenta decizie:

(a)	securitatea personalului;

(b)	securitatea fizică;

(c)	gestionarea IUEC;

(d)	acreditarea oricărui sistem informatic și de comunicații (SIC) care gestionează IUEC;

(e)	securitatea industrială; și

(f)	schimbul de informații clasificate.

(3)   CSA furnizează activități de formare obligatorii pentru ofițerii locali de securitate (LSO), adjuncții LSO, ofițerii de control al registrelor (RCO) și adjuncții RCO cu privire la responsabilitățile și atribuțiile lor.

(1)   CSA este responsabilă de acreditarea zonelor securizate care îndeplinesc cerințele articolului 18 din Decizia 2015/444 și a SIC pentru gestionarea IUEC.

(2)   Departamentele Comisiei consultă autoritatea de acreditare în materie de securitate (AAS), în coordonare cu LSO și LISO ai lor, după caz, ori de câte ori un departament intenționează:

(a)	să construiască o zonă securizată;

(b)	să implementeze un SIC pentru a gestiona IUEC;

(c)	să instaleze orice alt echipament pentru gestionarea informațiilor clasificate, inclusiv conexiuni la un SIC al unei părți terțe.

AAS oferă consiliere cu privire la aceste activități atât în timpul proceselor de planificare, cât și al celor de construcție sau dezvoltare.

(3)   IUEC nu pot fi gestionate într-o zonă securizată sau de către un SIC înainte ca autoritatea de acreditare în materie de securitate să emită pentru zona securizată, respectiv pentru SIC, o acreditare la nivelul IUEC corespunzător.

(4)   Printre cerințele pentru acreditarea unei zone securizate se numără:

(a)	aprobarea planurilor pentru zona securizată;

(b)	aprobarea oricăror contracte de lucrări executate de contractanți externi, luând în considerare dispozițiile privind securitatea industrială, cum ar fi orice cerințe de deținere de autorizații de securitate de către contractanți și personalul acestora;

(c)	disponibilitatea tuturor declarațiilor și certificatelor de conformitate necesare;

(d)	o inspecție fizică a zonei securizate pentru a verifica dacă materialele și metodele de construcție, controalele accesului, echipamentele de securitate și orice alte articole respectă cerințele prevăzute de CSA;

(e)	validarea măsurilor de combatere a radiațiilor electromagnetice pentru orice zonă securizată din punct de vedere tehnic;

(f)	aprobarea procedurilor operaționale de securitate (SecOP) pentru zona securizată.

(5)   Printre cerințele pentru acreditarea unui SIC care gestionează IUEC se numără:

(a)	crearea unei strategii de acreditare a sistemelor;

(b)	validarea planului de securitate al SIC, pe baza unei abordări de gestionare a riscurilor;

(c)	validarea SecOP pentru SIC;

(d)	validarea tuturor celorlalte documente de securitate necesare, astfel cum au fost stabilite de autoritatea de acreditare în materie de securitate;

(e)	aprobarea oricărei utilizări a tehnologiilor de criptare;

(f)	validarea măsurilor de combatere a radiațiilor electromagnetice pentru un SIC care gestionează informații clasificate la nivelul CONFIDENTIEL UE/EU CONFIDENTIAL sau la un nivel superior;

(g)	o inspecție a SIC pentru a verifica dacă măsurile de securitate documentate sunt implementate în mod corect.

(6)   După constatarea îndeplinirii cu succes a cerințelor de acreditare, autoritatea de acreditare în materie de securitate eliberează o autorizație oficială pentru gestionarea IUEC în zona securizată sau de către SIC, pentru un nivel maxim precizat al IUEC și pentru o perioadă de până la 5 ani, în funcție de nivelurile IUEC gestionate și de riscurile implicate.

(7)   După notificarea unei încălcări a securității sau a unei modificări semnificative în ceea ce privește proiectarea sau măsurile de securitate ale unei zone securizate sau ale unui SIC, autoritatea de acreditare în materie de securitate revizuiește și, dacă este necesar, poate revoca autorizația de gestionare a IUEC până la soluționarea oricăror probleme identificate.

(1)   Se implementează măsuri de securitate TEMPEST pentru a proteja SIC care gestionează informații clasificate la nivelul CONFIDENTIEL UE/EU CONFIDENTIAL sau la un nivel superior și se pot implementa măsuri de securitate și pentru informațiile clasificate RESTREINT UE/EU RESTRICTED.

(2)   Autoritatea TEMPEST este responsabilă de aprobarea măsurilor luate pentru protecția împotriva compromiterii IUEC prin emanații electronice neintenționate.

(3)   La cererea unui proprietar de sistem al unui SIC care gestionează IUEC, autoritatea TEMPEST emite specificații pentru măsurile de securitate TEMPEST care sunt adecvate nivelului de clasificare al informațiilor.

(4)   Autoritatea TEMPEST efectuează teste tehnice în timpul acreditării zonelor securizate și a SIC pentru gestionarea IUEC la nivelul CONFIDENTIAL UE/EU CONFIDENTIAL sau la un nivel superior și, dacă testele au reușit, eliberează un certificat TEMPEST.

(5)   Certificatele TEMPEST trebuie să specifice cel puțin:

(a)	data efectuării testului;

(b)	o descriere a măsurilor de securitate TEMPEST, împreună cu planurile incintelor respective;

(c)	data expirării certificatului;

(d)	ce modificări vor invalida certificarea;

(e)	semnătura autorității TEMPEST.

(6)   Un LSO sau o persoană care organizează reuniuni responsabilă de organizarea unei reuniuni clasificate, în coordonare cu LSO, poate solicita autorității TEMPEST să testeze sălile de reuniuni pentru a se asigura că acestea sunt securizate din punct de vedere tehnic.

(1)   Autoritatea de aprobare criptografică este responsabilă de aprobarea utilizării tehnologiilor de criptare.

(2)   Autoritatea de aprobare criptografică emite orientări privind cerințele pentru utilizarea și aprobarea tehnologiilor de criptare.

(3)   Autoritatea de aprobare criptografică aprobă utilizarea soluțiilor de criptare pe baza unei cereri din partea proprietarului de sistem. Aprobarea se bazează pe o evaluare satisfăcătoare a cel puțin următoarelor aspecte:

(a)	nevoile în materie de securitate aferente informațiilor care trebuie protejate;

(b)	o imagine de ansamblu a SIC implicat în soluție;

(c)	o evaluare a riscurilor inerente și reziduale;

(d)	o descriere a soluției propuse;

(e)	SecOP pentru soluția de criptare.

(4)   Autoritatea de aprobare criptografică ține un registru al soluțiilor de criptare aprobate.

(1)   Autoritatea de distribuție criptografică este responsabilă de distribuirea materialelor criptografice utilizate la protecția IUEC (în principal echipamente de criptare, chei și certificate criptografice și autentificatorii aferenți) către:

(a)	utilizatorii sau departamentele din cadrul Comisiei pentru SIC care sunt administrate de părți externe;

(b)	utilizatorii sau organizațiile din afara Comisiei pentru SIC care sunt administrate de Comisie.

(2)   Autoritatea de distribuție criptografică poate delega altor departamente distribuirea de materiale criptografice pentru părți terțe, în conformitate cu articolul 17 alineatul (3) din Decizia 2015/443.

(3)   Autoritatea de distribuție criptografică se asigură că toate materialele criptografice sunt trimise prin canale securizate care oferă protecție împotriva oricărei manipulări frauduloase și care prezintă dovezi ale oricărei manipulări frauduloase, în conformitate cu normele de securitate aplicabile pentru nivelul de clasificare a IUEC care vor fi protejate de materialele respective.

(4)   Autoritatea de distribuție criptografică oferă orientări LSO și, după caz, responsabilului local cu securitatea informatică din cadrul fiecărui departament al Comisiei care este implicat în producerea, distribuția sau utilizarea materialelor criptografice.

(5)   Autoritatea de distribuție criptografică se asigură că sunt instituite SecOP adecvate pentru procesul de distribuție.

(1)   Fiecare șef de departament numește:

(a)	un LSO și unul sau mai mulți adjuncți ai acestuia, după caz, pentru departament sau cabinet;

(b)	un RCO și unul sau mai mulți adjuncți ai acestuia, după caz, pentru fiecare departament care gestionează o registratură IUEC;

(c)	un proprietar de sistem pentru fiecare SIC care gestionează IUEC.

(2)   Șeful de departament solicită aprobarea directorului Direcției Securitate din cadrul Direcției Generale Resurse Umane și Securitate înainte de numirea LSO, a LSO adjuncți, a RCO și a RCO adjuncți.

(3)   Șeful de departament identifică toate posturile care necesită autorizare pentru a avea acces la IUEC, în consultare cu LSO. Candidații la astfel de posturi sunt informați în cursul procesului de recrutare cu privire la cerința de a obține o autorizare.

(4)   Șeful oricărui departament care deține IUEC este responsabil de activarea planurilor de distrugere și de evacuare de urgență, atunci când este necesar. Planurile trebuie să includă o soluție alternativă pentru situațiile în care șeful de departament nu poate fi contactat.

(1)   Proprietarul de sistem contactează autoritatea de acreditare în materie de securitate cât mai curând posibil în cadrul unui proiect de implementare a unui SIC care gestionează IUEC pentru a stabili standardele și cerințele de securitate relevante și pentru a începe procesul de acreditare de securitate.

(2)   Proprietarul de sistem se asigură că măsurile de securitate îndeplinesc cerințele autorității de acreditare în materie de securitate și că SIC nu gestionează IUEC înainte să fie acreditat.

(3)   Proprietarul de sistem contactează autoritatea de aprobare criptografică pentru aprobarea utilizării oricăror tehnologii de criptare. Proprietarii de sistem nu operează tehnologii de criptare în sistemele de producție fără o aprobare prealabilă.

(4)   Proprietarul de sistem consultă LISO al departamentului în ceea ce privește aspectele legate de securitatea SIC.

(5)   Proprietarul de sistem revizuiește cel puțin o dată pe an măsurile de securitate aplicate unui sistem, inclusiv planul de securitate al acestuia.

(6)   În cazul în care are loc un incident de securitate într-un SIC din care reiese faptul că SIC nu mai poate proteja în mod adecvat IUEC, proprietarul de sistem informează LSO și contactează imediat autoritatea de acreditare în materie de securitate pentru a-i oferi consiliere cu privire la modul în care trebuie să procedeze. În acest caz, acreditarea poate fi suspendată, iar sistemul poate fi scos din funcțiune până când se iau măsurile corective corespunzătoare.

(7)   Proprietarul sistemului acordă în orice moment sprijin deplin autorității de acreditare în materie de securitate în îndeplinirea sarcinilor acesteia legate de acreditarea SIC.

(1)   LSO și LSO adjuncți trebuie să fie funcționari sau agenți temporari.

(2)   Toți LSO și LSO adjuncți trebuie să dețină o autorizare de securitate valabilă pentru accesul la IUEC până la nivelul SECRET UE/EU SECRET și până la nivelul TRÈS SECRET UE/EU TOP SECRET, dacă este necesar. LSO și LSO adjunct trebuie să obțină autorizația de securitate înainte de numirea lor.

(3)   Reprezentanțele Comisiei pot solicita CSA să acorde o excepție de la cerințele prevăzute la alineatele (1) și (2).

(1)   LSO al departamentului în cauză al Comisiei elaborează SecOP pentru fiecare zonă securizată aflată în responsabilitatea sa.

(2)   LSO se asigură că SecOP includ următoarele cerințe:

(a)	numai membrii personalului care dețin o autorizare de securitate valabilă și o necesitate stabilită de a avea acces la documente clasificate CONFIDENTIEL UE/EU CONFIDENTIAL sau la un nivel superior sunt autorizați să aibă acces neînsoțiți într-o zonă securizată în timpul programului de lucru;

(b)	accesul neînsoțit într-o zonă securizată în afara programului de lucru se acordă numai LSO al departamentului, RCO al (ai) zonei securizate, adjuncților acestora și personalului autorizat din cadrul Direcției Securitate a Direcției Generale Resurse Umane și Securitate;

(c)

dispozitivele de înregistrare și comunicare, cum ar fi telefoanele mobile, calculatoarele, aparatele foto sau alte dispozitive inteligente, nu sunt permise în interiorul zonelor securizate fără o autorizare prealabilă din partea CSA; orice derogare trebuie solicitată CSA în prealabil; LSO acționează ca punct de contact;

(d)

toți membrii personalului intern sau extern care solicită acces la o zonă securizată, dar care nu îndeplinesc criteriile prevăzute la litera (a) de mai sus trebuie să fie însoțiți și supravegheați în permanență de către un membru al personalului autorizat în mod corespunzător; orice astfel de acces într-o zonă securizată trebuie înregistrat într-un registru păstrat la intrarea în zona securizată;

(e)	LSO se asigură că sistemele de detectare a intruziunilor care monitorizează o zonă securizată sunt active și funcționează corespunzător în permanență; LSO gestionează toate parolele, cheile, PIN-urile sau alte mecanisme de acces și de autentificare aferente;

(f)	alarmele declanșate într-o zonă securizată se raportează Direcției Securitate din cadrul Direcției Generale Resurse Umane și Securitate, care notifică imediat LSO;

(g)	LSO al departamentului în care se află zona securizată ține evidența fiecărei intervenții efectuate în urma declanșării unei alarme sau a producerii unui incident de securitate;

(h)

trebuie să existe proceduri care să acopere eventualitatea unei alarme sau a unei alte situații de urgență în interiorul zonei securizate, inclusiv evacuarea personalului și asigurarea unui răspuns rapid din partea unei echipe de urgență aflate sub autoritatea CSA și a serviciilor de urgență externe, după caz;

(i)	LSO raportează imediat CSA orice încălcare a securității care are loc în interiorul unei zone securizate sau care implică o astfel de zonă, pentru a stabili răspunsul adecvat;

(j)	birourile individuale, încăperile și seifurile din interiorul unei zone securizate sunt ținute încuiate ori de câte ori sunt lăsate nesupravegheate;

(k)	personalul evită discuțiile despre informații clasificate pe coridoare sau în alte zone comune din zona securizată atunci când în apropierea lor se află persoane care nu dețin autorizarea de securitate.

(1)   LSO are responsabilitatea generală de a asigura manipularea și stocarea corespunzătoare a cheilor și a combinațiilor utilizate în zonele securizate sau pentru accesarea acestora. Cheile și combinațiile se stochează într-un container de securitate și sunt protejate cel puțin la același nivel ca și materialul la care dau acces.

(2)   LSO ține un registru al containerelor de securitate și al camerelor tezaur, precum și o listă actualizată a tuturor membrilor personalului care au acces neînsoțit la acestea.

(3)   LSO ține un registru al cheilor pentru containerele de securitate și camerele tezaur, inclusiv al membrilor personalului cărora le sunt alocate. Se păstrează o dovadă de primire pentru fiecare cheie eliberată, inclusiv identificarea cheii, destinatarul, data și ora.

(4)   Cheile și combinațiile se eliberează numai personalului care are necesitatea de a cunoaște și căruia i-a fost acordată autorizarea corespunzătoare pentru a avea acces la IUEC. LSO recuperează cheile atunci când condițiile menționate mai sus nu mai sunt îndeplinite.

(5)   LSO păstrează chei de rezervă și o evidență scrisă a fiecărei combinații în plicuri individuale sigilate, opace, semnate și datate, care trebuie furnizate de membrul personalului responsabil de chei. Plicurile respective sunt păstrate într-un container de securitate căruia i se acordă un nivel de clasificare echivalent cu cel al materialului depozitat în containerul respectiv sau în camera tezaur respectivă cu cel mai înalt nivel de clasificare.

(6)   În cazul în care, la schimbarea combinației sau la rotația cheilor, un plic prezintă semne de manipulare frauduloasă sau de deteriorare, LSO tratează acest lucru ca pe un incident de securitate și informează imediat CSA.

(7)   Modificarea setărilor combinațiilor containerelor de securitate din zonele securizate se efectuează sub supravegherea LSO. Combinațiile se resetează cel puțin o dată la 12 luni și ori de câte ori:

(a)	se primește un nou container sau se instalează o nouă încuietoare (în special, combinațiile implicite trebuie schimbate imediat);

(b)	se suspectează o compromitere sau s-a produs o compromitere;

(c)	accesul nu mai este necesar pentru o persoană care deține o combinație.

(8)   LSO ține evidența datelor la care s-au efectuat modificările combinațiilor menționate la alineatul (7).

(1)   LSO îl asistă pe șeful de departament la stabilirea planurilor de evacuare și de distrugere de urgență a IUEC, pe baza orientărilor furnizate de Direcția Securitate a Direcției Generale Resurse Umane și Securitate.

(2)   LSO se asigură că orice echipament necesar pentru funcționarea planurilor prevăzute la alineatul (1) este disponibil cu ușurință și menținut într-o stare de funcționare bună.

(3)   LSO, împreună cu funcționarii desemnați în planurile prevăzute la alineatul (1), reexaminează nivelul de pregătire a planurilor cel puțin o dată la 12 luni și ia toate măsurile necesare pentru actualizarea acestora.

(1)   LSO ține evidența tuturor posturilor din cadrul departamentului care necesită o autorizare de securitate din partea Comisiei, precum și a personalului care ocupă posturile respective. Cerința deținerii unei autorizări de securitate trebuie specificată în anunțul de post vacant în cursul procesului de recrutare și comunicată candidatului în timpul interviului.

(2)   LSO supraveghează toate cererile de autorizări de securitate pentru accesul la IUEC. LSO este punctul de contact din cadrul departamentului și asigură legătura cu CSA pentru autorizările de securitate.

(3)   LSO inițiază cererea de lansare a procedurii de autorizare de securitate pentru membrul personalului în cauză și se asigură că membrul personalului returnează prompt CSA chestionarul privind autorizarea de securitate națională.

(4)   LSO se asigură că membrii personalului din departament care au primit autorizarea de securitate națională participă la cursul obligatoriu de informare privind IUEC pentru a obține autorizarea de securitate.

(5)   LSO colaborează în mod regulat cu serviciul de resurse umane al departamentului pentru a obține informații cu privire la orice modificare a posturilor care necesită o autorizare de securitate și informează fără întârziere CSA cu privire la orice astfel de modificare.

(6)   LSO informează CSA atunci când sosește un nou membru al personalului care deține deja o autorizare de securitate pentru a ocupa un post care necesită autorizarea de securitate.

(7)   LSO se asigură că membrii personalului din cadrul departamentului finalizează procedura de reînnoire a autorizării de securitate în termenul prevăzut. Orice membru al personalului care refuză să finalizeze procedura este obligat să se transfere pe un post care nu necesită deținerea autorizării de securitate.

(1)   În cazul în care un departament gestionează o registratură IUEC, LSO supraveghează activitățile RCO în ceea ce privește gestionarea IUEC și respectarea normelor de securitate referitoare la protecția IUEC.

(2)   LSO efectuează următoarele verificări cel puțin o dată la 12 luni și la schimbarea unui RCO sau a unui RCO adjunct:

(a)	o verificare a unui eșantion din documentele din registratura IUEC pentru a confirma statutul acestora și fiabilitatea registrului documentelor clasificate;

(b)	o verificare a unui eșantion din confirmările de primire și de transmitere pentru distribuirea IUEC către și din registratura IUEC;

(c)	o verificare a unui eșantion din certificatele de distrugere.

(3)   Cel puțin o dată pe lună, LSO efectuează verificări prin sondaj ale registrului documentelor clasificate și ale documentelor clasificate primite recent, pentru a se asigura că documentele sunt înregistrate corect.

(4)   Toate controalele se înregistrează în fișierul-jurnal al registrului documentelor clasificate.

(1)   RCO și RCO adjuncți trebuie să fie funcționari sau agenți temporari.

(2)   Toți RCO și RCO adjuncți trebuie să dețină o autorizare de securitate valabilă pentru accesul la IUEC până la nivelul SECRET UE/EU SECRET și până la nivelul TRÈS SECRET UE/EU TOP SECRET, dacă este necesar. RCO și RCO adjunct trebuie să obțină autorizarea de securitate înainte de a fi numiți.

(3)   Reprezentanțele Comisiei pot solicita CSA să acorde o excepție de la cerințele prevăzute la alineatele (1) și (2).

(1)   RCO înregistrează informațiile clasificate CONFIDENTIEL UE/EU CONFIDENTIAL sau la un nivel superior, în scopuri de securitate, atunci când:

(a)	sosesc într-un departament al Comisiei sau pleacă de la un departament al Comisiei; sau

(b)	sosesc într-un SIC sau când pleacă dintr-un SIC.

(2)   RCO înregistrează toate evenimentele survenite în ciclul de viață al tuturor informațiilor clasificate CONFIDENTIEL UE/EU CONFIDENTIAL sau la un nivel superior. RCO se asigură, de asemenea, că se păstrează o evidență a tuturor informațiilor clasificate RESTREINT UE/EU RESTRICTED sau la un nivel echivalent care sunt transmise unor țări terțe și organizații internaționale, respectiv care sunt primite de la acestea. Acest lucru se face în coordonare cu registratura IUEC gestionată de Secretariatul General.

(3)   RCO înregistrează documentele clasificate la nivelul CONFIDENTIEL UE/EU CONFIDENTIAL sau la un nivel superior în registrul documentelor clasificate și se asigură că acestea sunt stocate în siguranță în registratura IUEC.

(4)   RCO asistă personalul Comisiei la crearea și transmiterea de informații clasificate la nivelul CONFIDENTIEL UE/EU CONFIDENTIAL sau la un nivel superior.

(5)   Atunci când documente clasificate CONFIDENTIEL UE/EU CONFIDENTIAL sau la un nivel superior sunt primite de la alte departamente sau de la părți externe, RCO asigură transmiterea corespunzătoare către emitent a confirmării de primire.

(6)   Înainte de a permite unui membru al personalului să aibă acces la un document clasificat deținut de registratura IUEC, RCO verifică împreună cu LSO dacă membrul personalului respectiv are autorizare de securitate de la CSA.

(7)   RCO înregistrează toți membrii personalului care intră și ies din registratura IUEC și care nu sunt autorizați să aibă acces neînsoțit și îi însoțesc pe întreaga durată a vizitei lor.

(8)   Atunci când un membru al personalului scoate din registratura IUEC un document pentru a-l consulta, RCO se asigură că acesta știe care sunt măsurile de securitate compensatorii relevante și că membrul personalului returnează documentul de îndată ce nu mai are nevoie de el. RCO reamintește membrilor personalului să returneze orice astfel de document cât mai curând posibil.

(9)   Registratura IUEC eliberează un certificat de curierat dacă documentele clasificate sunt transportate personal în afara țării în care se află registratura.

(10)   Instrucțiunile detaliate pentru RCO privind înregistrarea documentelor clasificate sunt prevăzute într-o comunicare de securitate.

(1)   RCO sunt responsabili de distrugerea informațiilor clasificate la nivelul CONFIDENTIEL UE/EU CONFIDENTIAL și la un nivel superior, prin mijloace aprobate, dacă este cazul în prezența unor martori care dețin autorizarea de securitate.

(2)   RCO înregistrează orice distrugere a informațiilor clasificate la nivelul CONFIDENTIEL UE/EU CONFIDENTIAL și la un nivel superior în registrul documentelor clasificate și păstrează certificatele de distrugere aferente în registratura IUEC.

(1)   RCO furnizează LSO toată asistența de care au nevoie atunci când LSO desfășoară activități de supraveghere în registratura IUEC.

(2)   RCO raportează orice incident de securitate suspectat sau real către LSO, care, la rândul său, îl raportează CSA.

(3)   RCO al registraturii IUEC a unui departament al Comisiei care organizează o reuniune clasificată la nivelul CONFIDENTIEL UE/EU CONFIDENTIAL sau la un nivel superior pregătește IUEC care vor fi manipulate în timpul reuniunii și se coordonează cu organizatorul reuniunii pentru a se asigura că toate documentele și confirmările de primire sunt tratate în conformitate cu normele relevante.