EURÓPSKA KOMISIA
V Bruseli22. 3. 2022
COM(2022) 119 final
2022/0084(COD)
Návrh
NARIADENIE EURÓPSKEHO PARLAMENTU A RADY
o bezpečnosti informácií v inštitúciách, orgánoch, úradoch a agentúrach Únie
{SWD(2022) 65 final} - {SWD(2022) 66 final}
DÔVODOVÁ SPRÁVA
1.KONTEXT NÁVRHU
•Dôvody a ciele návrhu
Tento návrh je súčasťou Stratégie EÚ pre bezpečnostnú úniu, ktorú prijala Komisia 24. júla 2020 a v ktorej sa stanovuje jej záväzok zabezpečiť pridanú hodnotu Európskej únie pre vnútroštátne úsilie v oblasti bezpečnosti. Súčasťou tohto záväzku je iniciatíva na zjednodušenie interných právnych rámcov pre bezpečnosť informácií vo všetkých inštitúciách a orgánoch Únie.
Kľúčovou vlastnosťou strategického programu na roky 2019 – 2024 prijatého Európskou radou v júni 2019 je ochrana našich spoločností pred neustále sa vyvíjajúcimi hrozbami pre informácie, s ktorými manipulujú inštitúcie a orgány. Vo svojich záveroch Európska rada vyzvala najmä „inštitúcie EÚ spolu s členskými štátmi, aby vypracovali opatrenia na posilnenie odolnosti a zlepšenie bezpečnostnej kultúry Európskej únie proti kybernetickým a hybridným hrozbám z prostredia mimo EÚ a na lepšiu ochranu informačných a komunikačných sietí EÚ a jej rozhodovacích procesov pred škodlivými činnosťami všetkého druhu“.
V rovnakom duchu dospela v decembri 2019 Rada pre všeobecné záležitosti k záveru, že inštitúcie a orgány EÚ by mali s podporou členských štátov vypracovať a vykonávať komplexný súbor opatrení na zaistenie svojej bezpečnosti. Ide o vypočutie dlhodobej požiadavky Bezpečnostného výboru Rady na preskúmanie spoločného základu bezpečnostných predpisov Rady, Komisie a Európskej služby pre vonkajšiu činnosť.
V súčasnosti majú inštitúcie a orgány Únie buď vlastné predpisy v oblasti bezpečnosti informácií vychádzajúce z ich rokovacieho poriadku alebo zakladajúceho aktu, alebo nemajú v tejto oblasti vôbec žiadne predpisy. Je to tak najmä v prípade niektorých malých subjektov, ktoré nemajú vôbec žiadne formálne politiky v oblasti bezpečnosti informácií.
V dôsledku stále sa zvyšujúceho objemu citlivých neutajovaných skutočností a utajovaných skutočností Európskej únie, ktoré si musia inštitúcie a orgány Únie medzi sebou vymieňať, a vzhľadom na dramatický vývoj panorámy hrozieb je európska administratíva vystavená útoku vo všetkých svojich oblastiach činnosti. Informácie, s ktorými manipulujú naše inštitúcie a orgány, sú pre aktérov hrozieb veľmi príťažlivé a treba ich primerane chrániť. To si vyžaduje rýchle opatrenie zamerané na posilnenie ich ochrany.
Z toho dôvodu a s cieľom zvýšiť ochranu informácií, s ktorými manipuluje európska administratíva, sa táto iniciatíva zameriava na zjednodušenie rôznych právnych rámcov inštitúcií a orgánov Únie v tejto oblasti prostredníctvom:
•stanovenia harmonizovaných a komplexných kategórií informácií, ako aj spoločných predpisov v oblasti manipulácie s informáciami pre všetky inštitúcie a orgány Únie,
•vytvorenia efektívneho programu spolupráce v oblasti bezpečnosti informácii medzi inštitúciami a orgánmi Únie, v rámci ktorého bude možné posilniť súdržnú kultúru bezpečnosti informácií v celej európskej administratíve,
•modernizácie politík v oblasti bezpečnosti informácií na všetkých stupňoch utajenia/kategorizácie vo všetkých inštitúciách a orgánoch Únie, s prihliadnutím na digitálnu transformáciu a rozvoj telepráce ako štrukturálnej praxe.
•Súlad s existujúcimi ustanoveniami v tejto oblasti politiky
Táto iniciatíva je v súlade so širokou škálou politík EÚ v oblasti bezpečnosti a bezpečnosti informácií.
V roku 2016 prijali Európsky parlament a Rada smernicu o opatreniach na zabezpečenie vysokej spoločnej úrovne bezpečnosti sietí a informačných systémov v Únii. Táto smernica predstavovala prvé legislatívne opatrenie na úrovni celej EÚ, ktorého cieľom bolo zintenzívniť spoluprácu medzi členskými štátmi v oblasti kybernetickej bezpečnosti. Hoci Komisia v decembri 2020 prijala návrh na preskúmanie tohto nástroja, ktorým sa zavádzajú opatrenia dohľadu pre vnútroštátne orgány, administratíva Únie do rozsahu jeho pôsobnosti nepatrí.
V rovnakom duchu a s cieľom prispieť k úsiliu členských štátov v oblasti bezpečnosti je mimoriadne dôležité, aby inštitúcie a orgány Únie dosiahli vysokú úroveň ochrany svojich informácií a súvisiacich informačných a komunikačných systémov, aby mohli zaručiť bezpečnosť informácií.
V júli 2020 Komisia prijala stratégiu pre bezpečnostnú úniu s komplexným záväzkom EÚ prispievať k úsiliu členských štátov vo všetkých oblastiach bezpečnosti. Táto stratégia sa týka rokov 2020 až 2025 a obsahuje štyri hlavné piliere opatrení: nadčasové bezpečnostné prostredie, riešenie vyvíjajúcich sa hrozieb, ochrana Európanov pred terorizmom a organizovanou trestnou činnosťou a pevný európsky bezpečnostný ekosystém. Viaceré témy, ktoré sa riešia v rámci uvedených pilierov, sa zameriavajú na bezpečnosť informácií, kybernetickú bezpečnosť, spoluprácu a výmenu informácií a kritickú infraštruktúru.
V súlade so stratégiou EÚ pre bezpečnostnú úniu navrhuje Európska komisia vytvoriť minimálny súbor predpisov v oblasti bezpečnosti informácií vo všetkých inštitúciách a orgánoch Únie, ktorý vyvolá potrebu záväzných a prísnych spoločných noriem pre bezpečnú výmenu informácií. Táto iniciatíva predstavuje záväzok inštitúcií a orgánov zaviesť v európskej administratíve rovnakú úroveň ambícií v oblasti bezpečnosti, aká sa vyžaduje od členských štátov.
Komisia a vysoký predstaviteľ pre zahraničné veci a bezpečnostnú politiku predložili 16. decembra 2020 novú stratégiu kybernetickej bezpečnosti EÚ. Stanovujú sa v nej priority a kľúčové opatrenia s cieľom budovať odolnosť, autonómiu, vedúce postavenie a operačnú kapacitu Európy vzhľadom na rastúce a zložité hrozby pre jej sieťové a informačné systémy a presadzovať globálny a otvorený kybernetický priestor a medzinárodné partnerstvá v jeho rámci. Rovnako dôležité je, aby inštitúcie a orgány Únie prispievali k dosahovaniu týchto priorít tým, že stanovia rovnocenné požiadavky v oblasti bezpečnosti informácií a kybernetickej bezpečnosti.
Cieľom tohto návrhu je spolu s návrhom nariadenia, ktorým sa stanovujú opatrenia na zabezpečenie vysokej spoločnej úrovne kybernetickej bezpečnosti v inštitúciách, orgánoch, úradoch a agentúrach Únie, doplniť regulačný vzor Stratégie EÚ pre bezpečnostnú úniu o osobitné požiadavky európskej administratívy. Vzhľadom na to, že bezpečnosť informácií a kybernetická bezpečnosť spolu navzájom súvisia, by sa mal zabezpečiť súdržný prístup k ochrane neutajovaných skutočností v rámci týchto dvoch návrhov.
•Súlad s ostatnými politikami Únie
Pri tejto iniciatíve sa prihliada aj na ostatné politiky Únie, ktoré majú význam pre bezpečnosť informácií.
V oblasti ochrany údajov existuje nariadenie (EÚ) 2018/1725 o ochrane fyzických osôb pri spracúvaní osobných údajov inštitúciami, orgánmi, úradmi a agentúrami Únie a o voľnom pohybe takýchto údajov, ktoré platí pre administratívu Európskej únie aj Európskeho spoločenstva pre atómovú energiu (ďalej len „Euratom“). Okrem toho musíme uviesť, že v prípade niektorých inštitúcií a orgánov Únie prijali zákonodarcovia EÚ osobitné príslušné predpisy v oblasti ochrany osobných údajov.
V oblasti transparentnosti vychádza tento návrh zo zásad zakotvených v nariadení (ES) č. 1049/2001 o prístupe verejnosti k dokumentom Európskeho parlamentu, Rady a Komisie, ktoré sa týkajú ďalších príslušných predpisov.
2.PRÁVNY ZÁKLAD, SUBSIDIARITA A PROPORCIONALITA
•Právny základ
Vzhľadom na cieľ a obsah tohto návrhu je najvhodnejším právnym základom článok 298 Zmluvy o fungovaní Európskej únie (ZFEÚ) a článok 106a Zmluvy o založení Európskeho spoločenstva pre atómovú energiu.
Článok 298 ZFEÚ bol zavedený Lisabonskou zmluvou a zákonodarcom sa v ňom umožňuje zaviesť ustanovenia na vytvorenie efektívnej a nezávislej administratívy, ktorá bude podporovať inštitúcie, orgány, úrady a agentúry pri vykonávaní ich poslania.
Efektívna a nezávislá administratíva závisí od bezpečnosti svojich informácií. Na plnenie svojho poslania musia mať inštitúcie a orgány Únie k dispozícii bezpečné prostredie pre informácie, s ktorými každodenne manipulujú a uchovávajú. Okrem toho by sa poskytnutím spoločnej základnej úrovne pre normy povinnej pre všetkých zaručila vysoká úroveň bezpečnosti, znížilo riziko slabých článkov pri podpore interoperability medzi inštitúciami a orgánmi a posilnili synergie, čím by sa zvýšila odolnosť administratívy proti vyvíjajúcim sa hrozbám.
Ďalej sa s celkovým cieľom dosiahnuť vysokú spoločnú úroveň bezpečnosti utajovaných skutočností EÚ a neutajovaných skutočností, s ktorými manipulujú a ktoré uchovávajú inštitúcie a orgány Únie, v tomto návrhu umožňuje európskej administratíve lepšie sa chrániť pred zasahovaním zvonka a špionážnymi činnosťami.
V článku 298 ZFEÚ sa Únii umožňuje stanoviť spoločné predpisy pre celú európsku administratívu s cieľom zabezpečiť, aby všetky inštitúcie a orgány Únie nakladali s utajovanými skutočnosťami EÚ a neutajovanými skutočnosťami podobne. V tomto nariadení sa ako také stanovujú predpisy platné pre administratívu a na jeho základe sa môžu nepriamo ukladať povinnosti iba jednotlivcom plniacim úlohy v mene tejto administratívy alebo na zmluvnom základe (nepatria k nim komisári, zástupcovia členských štátov pôsobiaci v Rade, členovia Európskeho parlamentu, sudcovia únijných súdov ani členovia Európskeho dvora audítorov).
Podľa článku 298 ZFEÚ Európsky parlament a Rada konajú prostredníctvom nariadenia a v súlade s riadnym legislatívnym postupom.
V prípade tohto návrhu je potrebný aj dodatočný právny základ, keďže sa týka informácií v súvislosti s niektorými činnosťami Európskeho spoločenstva pre atómovú energiu. Tieto informácie nie sú utajovanými skutočnosťami Euratomu, ale inštitúcie a orgány Únie s nimi nakladajú v rámci všeobecného režimu utajovaných skutočností EÚ.
Takýmto ďalším právnym základom je článok 106a Zmluvy o založení Európskeho spoločenstva pre atómovú energiu, ktorým sa článok 298 ZFEÚ stáva platným aj pre uvedené činnosti Euratomu.
•Subsidiarita (v prípade inej ako výlučnej právomoci)
Podľa zásady subsidiarity stanovenej v článku 5 ods. 3 Zmluvy o Európskej únii by sa mali opatrenia na úrovni EÚ prijímať len vtedy, ak zamýšľané ciele nemôžu uspokojivo dosiahnuť samotné členské štáty, a preto je možné ich z dôvodu rozsahu alebo účinkov navrhovanej činnosti lepšie dosiahnuť na úrovni EÚ.
Keďže len Únia môže prijať predpisy týkajúce sa utajovaných skutočností EÚ a citlivých neutajovaných skutočností, s ktorými manipulujú a ktoré uchovávajú inštitúcie a orgány Únie, zásada subsidiarity sa neuplatňuje.
•Proporcionalita
Vytvorenie spoločnej základnej úrovne v oblasti bezpečnosti informácií pre všetky inštitúcie a orgány Únie je potrebné na podporu nezávislej a efektívnej administratívy.
V súlade so zásadou proporcionality stanovenou v článku 5 ods. 4 ZEÚ nie sú ustanovenia nariadenia príliš normatívne a ponechávajú priestor na rôzne úrovne konkrétnych opatrení v súlade s úrovňou vyspelosti bezpečnosti jednotlivých inštitúcií a orgánov Únie.
Okrem toho má riešenie obmedzený vplyv na základné práva jednotlivcov. Návrh teda neprekračuje rámec nevyhnutný na riešenie problému spočívajúceho v neexistujúcom spoločnom súbore predpisov v oblasti bezpečnosti informácií pre všetky inštitúcie a orgány Únie.
•Výber nástroja
Za vhodný právny nástroj sa na základe článku 298 ZFEÚ považuje nariadenie.
Jeho použitie je odôvodnené prevažujúcou mierou prvkov, ktoré si vyžadujú jednotné uplatňovanie bez voľného uváženia inštitúcií a orgánov Únie pri ich vykonávaní, a ktorými sa vytvára minimálny horizontálny rámec.
3.VÝSLEDKY HODNOTENÍ EX POST, KONZULTÁCIÍ SO ZAINTERESOVANÝMI STRANAMI A POSÚDENÍ VPLYVU
•Hodnotenia ex post/kontroly vhodnosti existujúcich právnych predpisov
Neuplatňuje sa.
•Konzultácie so zainteresovanými stranami
Komisia uskutočnila rozsiahle konzultácie s kľúčovými zainteresovanými stranami o najrôznejších aspektoch predpisov v oblasti bezpečnosti informácií inštitúcií a orgánov Únie. Celkovým cieľom konzultačných činností bolo získať relevantné vstupné informácie na prípravu legislatívnej iniciatívy týkajúcej sa predpisov v oblasti bezpečnosti informácií, ktoré by boli spoločné pre všetky inštitúcie a orgány Únie. Cieľom konzultácií bolo získať vstupné informácie o:
•problémoch týkajúcich sa existujúceho rámca bezpečnosti informácií v inštitúciách a orgánoch Únie, ktoré by sa mali podľa zainteresovaných strán riešiť v iniciatíve,
•relevantnosti, účinnosti, efektívnosti a pridanej hodnote iniciatívy,
•očakávaných vplyvoch iniciatívy a ďalších možných dôsledkoch pre zainteresované strany.
Pri príprave tohto legislatívneho návrhu Komisia uskutočnila konzultácie s týmito kategóriami zainteresovaných strán:
1.inštitúciami, orgánmi, úradmi a agentúrami Únie;
2.národnými bezpečnostnými orgánmi v členských štátoch;
3.výskumníkmi z JRC.
Vzhľadom na konkrétne vlastnosti tejto iniciatívy, ktorá sa uplatňuje výlučne na inštitúcie a orgány Únie a má len malý vplyv na európskych občanov a podniky, sa útvary Komisie rozhodli uprednostniť získanie názorov príslušných skupín zainteresovaných strán. Preto sa neuskutočnila žiadna osobitná verejná konzultácia k tejto legislatívnej iniciatíve.
Počas konzultačného procesu útvary Komisie využívali tieto metódy a formy konzultácie:
1.možnosť všetkých zainteresovaných strán poskytnúť spätnú väzbu k úvodnému posúdeniu vplyvu prostredníctvom platformy Komisie „Vyjadrite svoj názor“;
2.cielený dotazník určený expertom na bezpečnosť informácií v inštitúciách a orgánoch Únie prostredníctvom portálu EU Survey;
3.cielený dotazník určený národným bezpečnostným orgánom členských štátov prostredníctvom portálu EU Survey;
4.žiadosť o vypracovanie prispôsobeného posúdenia rizík základného majetku v oblasti bezpečnosti informácií a
5.viaceré stretnutia a výmeny informácií s partnermi z inštitúcií, orgánov, úradov a agentúr, ako aj z národných bezpečnostných orgánov členských štátov.
Hlavnými vstupnými informáciami, ktoré vyplynuli z konzultačných činností, sú podľa Komisie tieto:
•Fragmentácia príslušných právnych rámcov medzi našimi inštitúciami a orgánmi spôsobuje značnú duplicitu úsilia o vytvorenie a zachovanie interných predpisov, ako aj neinteroperabilné postupy pri manipulácii s informáciami. V prípade členských štátov sa z dôvodu rozmanitosti uvedených predpisov zvyšuje riziko ich nepochopenia, nesprávneho výkladu a nedodržiavania.
•Hoci by sa stanovením základnej úrovne v oblasti bezpečnosti informácií pre všetky inštitúcie a orgány Únie vytvoril ekosystém so štandardizovanými bezpečnostnými predpismi a zavedenými najlepšími postupmi, je potrebné prihliadnuť na rozmanitosť a rozdielne prevádzkové prostredie jednotlivých inštitúcií a orgánov Únie a mali by sa umožniť aj lokálne riešenia.
•V tejto iniciatíve sa musí prihliadať na nezávislosť a rôzne úrovne vyspelosti bezpečnosti jednotlivých inštitúcií a orgánov Únie, ktoré budú naďalej plne zodpovedné za organizáciu svojej bezpečnosti informácií.
•Získavanie a využívanie expertízy
Komisia pri konzultáciách so zainteresovanými stranami využila vlastné zdroje. Riaditeľstvo GR HR pre bezpečnosť zabezpečilo súvisiace prieskumy, videokonferencie a ďalšie semináre. Táto úloha si vyžadovala výber účastníkov a organizáciu podujatí, ako aj spracovanie získaných vstupných informácií.
Spoločné výskumné centrum (JRC) vykonalo posúdenie rizika hlavného majetku v oblasti bezpečnosti informácií, na základe ktorého sa vypracovala analýza vplyvu.
•Posúdenie vplyvu
Táto iniciatíva je určená výlučne inštitúciám a orgánom Únie a má obmedzený vplyv na členské štáty a jednotlivcov. Nebolo teda potrebné vypracovať podrobné posúdenie vplyvu, keďže nebol určený žiadny jednoznačný ani významný vplyv na občanov a podniky. Na webovom sídle Europa bol uverejnený komplexný plán, ku ktorému sa získala spätná väzba od príslušných zainteresovaných strán.
•Regulačná vhodnosť a zjednodušenie
Neuplatňuje sa.
•Základné práva
EÚ sa zaväzuje zabezpečovať vysoké normy ochrany základných práv. Touto iniciatívou sa zabezpečuje úplné dodržiavanie základných práv zakotvených v Charte základných práv Európskej únie, a to takto:
•Právo na dobrú správu vecí verejných
Posilnením bezpečnosti informácií, s ktorými sa manipuluje pri riešení záležitostí európskych občanov, prispievajú inštitúcie a orgány Únie k dodržiavaniu zásady dobrej správy vecí verejných.
•Ochrana osobných údajov
Každé spracovanie osobných údajov v rámci tohto návrhu sa bude uskutočňovať v dôveryhodnom prostredí a pri plnom dodržaní nariadenia Európskeho parlamentu a Rady (EÚ) 2018/1725.
•Právo na prístup k dokumentom
Verejný prístup k dokumentom s utajovanými skutočnosťami EÚ a citlivými neutajovanými skutočnosťami sa naďalej v plnej miere riadi nariadením Európskeho parlamentu a Rady (ES) č. 1049/2001.
•Právo na duševné vlastníctvo
Pri manipulácii s neutajovanými skutočnosťami a utajovanými skutočnosťami EÚ a pri ich uchovávaní chránia inštitúcie a orgány Únie duševné vlastníctvo v súlade so smernicou Európskeho parlamentu a Rady 2001/29/ES.
•Sloboda prejavu a právo na informácie
Hoci má každý slobodu prijímať a rozširovať informácie a myšlienky bez zasahovania orgánov verejnej moci, Únii to nebráni stanovovať podmienky prístupu k určitým druhom informácií podľa ich stupňa dôvernosti, podmienky manipulácie s takýmito informáciami a ich uchovávania.
Uplatňovanie týchto slobôd môže podliehať podmienkam a obmedzeniam stanoveným v zákone, ktoré sú v demokratickej spoločnosti nevyhnutné, aby sa zabránilo zverejneniu dôverných informácií prijatých v záujme bezpečnosti EÚ.
4.VPLYV NA ROZPOČET
V tomto návrhu sa vyžaduje pridelenie jedného úradníka v skupine AD a jedného asistenta v triede AST do stáleho sekretariátu koordinačnej skupiny v riaditeľstve pre bezpečnosť GR pre ľudské zdroje a bezpečnosť, ktorých poskytne Komisia.
V prípade inštitúcií a orgánov sa v dôsledku zlepšenia bezpečnosti informácií očakávajú úspory nákladov vyplývajúce zo spoločných úloh a úloh spolupráce, ako aj zo zabránenia možným hospodárskym škodám, ktoré by boli dôsledkom bezpečnostných incidentov. Na druhej strane môže byť finančné úsilie na vykonávanie nových právnych predpisov súčasťou existujúcich programov na zlepšenie bezpečnosti informácií v jednotlivých inštitúciách a orgánoch Únie.
5.ĎALŠIE PRVKY
•Plány vykonávania, spôsob monitorovania, hodnotenia a podávania správ
V návrhu sa stanovuje povinnosť Komisie podávať každé tri roky Európskemu parlamentu a Rade správu o vykonávaní tohto nariadenia, ako aj o fungovaní systému riadenia z tohto nariadenia.
Okrem toho Komisia každých päť rokov vyhodnotí toto nariadenie na účely posúdenia jeho skutočnej výkonnosti a na základe tohto hodnotenia stanoví, či sú potrebné úpravy právnych predpisov.
•Podrobné vysvetlenie konkrétnych ustanovení návrhu
Tento návrh je štruktúrovaný v rámci požiadaviek na manipuláciu s neutajovanými skutočnosťami a utajovanými skutočnosťami EÚ a požiadaviek na ich uchovávanie, keďže tieto skutočnosti tvoria hlavný predmet úpravy iniciatívy a ich posilnená ochrana predstavuje jej hlavný účel.
Predmet úpravy a rozsah pôsobnosti (článok 1 a článok 2)
Cieľom tohto nariadenia je vytvoriť minimálny súbor predpisov v oblasti bezpečnosti informácií platný pre všetky inštitúcie a orgány Únie.
Vzťahuje sa na všetky informácie, s ktorými manipulujú a ktoré uchovávajú inštitúcie a orgány Únie, a to aj na informácie súvisiace s činnosťami Európskeho spoločenstva pre atómovú energiu, s výnimkou utajovaných skutočností Euratomu. Toto nariadenie sa týka neutajovaných skutočností aj utajovaných skutočností EÚ.
Vymedzenie pojmov a všeobecné zásady (články 3 až 5)
Vymedzenie pojmov uvedené v článku 3 vychádza zo súčasných predpisov o bezpečnosti informácií, ktoré samostatne prijali inštitúcie a orgány Únie.
Okrem všeobecných zásad právnych predpisov Únie, akými sú transparentnosť, proporcionalita, efektívnosť a zodpovednosť, sa v tomto nariadení stanovujú hlavné záväzné usmernenia týkajúce sa napríklad samostatného procesu riadenia rizík v oblasti bezpečnosti informácií vykonávaného jednotlivými inštitúciami a orgánmi Únie a posúdenia ich informácií na účely ich správnej kategorizácie.
Riadenie a organizácia bezpečnosti (články 6 až 8)
Všetky inštitúcie a orgány Únie spolupracujú v rámci Medziinštitucionálnej koordinačnej skupiny pre bezpečnosť informácií, ktorá sa uznáša konsenzom a v spoločnom záujme inštitúcií a orgánov Únie.
V tejto koordinačnej skupine zasadajú bezpečnostné orgány všetkých inštitúcií a orgánov a prijímajú sa usmerňovacie dokumenty o vykonávaní tohto nariadenia. Pravidelne spolupracuje s národnými bezpečnostnými orgánmi členských štátov, ktoré zasadajú vo Výbore pre bezpečnosť informácií.
Zriaďuje sa päť podskupín zložených z expertov zastupujúcich jednotlivé inštitúcie a orgány, ktorých cieľom je uľahčiť postupy a ďalšie praktické aspekty súvisiace s bezpečnosťou informácií.
Všetky inštitúcie a orgány Únie musia určiť bezpečnostný orgán zodpovedný za vymedzenie interných politík v oblasti bezpečnosti informácií a za ich vykonávanie. Bezpečnostný orgán zriaďuje osobitné orgány, ako napríklad orgán pre informačnú bezpečnosť, operačný orgán pre informačnú bezpečnosť, orgán bezpečnostnej certifikácie, orgán pre TEMPEST, kryptografický schvaľovací orgán a kryptografický distribučný orgán, ktoré môžu byť z dôvodov efektívnosti alebo zdrojov delegované na inú inštitúciu alebo orgán.
Informačná bezpečnosť a komunikačné a informačné systémy (články 9 až 11)
Nariadením sa zriaďuje podskupina pre informačnú bezpečnosť s cieľom posilniť súdržnosť medzi predpismi v oblasti bezpečnosti informácií a základnou úrovňou kybernetickej bezpečnosti v inštitúciách a orgánoch Únie, ako sa vymedzuje v nariadení, ktorým sa stanovujú opatrenia na zabezpečenie vysokej spoločnej úrovne kybernetickej bezpečnosti v inštitúciách, orgánoch, úradoch a agentúrach Únie.
Inštitúcie a orgány Únie musia vyhovovať zásadám uvedeným v týchto článkoch a prijať samostatné interné predpisy týkajúce sa konkrétnych bezpečnostných opatrení, ktoré zodpovedajú ich vlastným bezpečnostným prostrediam.
Neutajované skutočnosti (články 12 až 17 a príloha I)
V nariadení sa stanovujú tri kategórie neutajovaných skutočností: informácie na verejné použitie, bežné informácie a citlivé neutajované skutočnosti. Vymedzujú sa všetky kategórie informácií a na ich ochranu sa stanovujú podmienky ich označovania a manipulácie s nimi.
Na koordinovanie úsilia o dosiahnutie rovnocennosti medzi konkrétnymi kategóriami stanovenými niektorými inštitúciami a orgánmi Únie a spoločnými kategóriami stanovenými v nariadení sa v návrhu zriaďuje podskupina pre neutajované skutočnosti.
Utajované skutočnosti EÚ (články 18 až 58 a prílohy II až VI)
Keďže ide o najrozsiahlejšiu kapitolu návrhu, rozdeľuje sa do siedmich oddielov takto: Všeobecné ustanovenia, Personálna bezpečnosť, Fyzická bezpečnosť, Správa utajovaných skutočností EÚ, Ochrana v komunikačných a informačných systémoch, Priemyselná bezpečnosť a Spoločné využívanie utajovaných skutočností EÚ a výmena utajovaných skutočností.
V oddiele so všeobecnými ustanoveniami sa stanovujú štyri úrovne utajovaných skutočností EÚ: TRES SECRET UE/EU TOP SECRET, SECRET UE/EU SECRET, CONFIDENTIEL UE/EU CONFIDENTIAL, RESTREINT UE/EU RESTRICTED, ako aj povinnosť inštitúcií a orgánov Únie prijať potrebné bezpečnostné opatrenia na základe výsledkov procesu riadenia rizík v oblasti bezpečnosti informácií.
Zostávajúce oddiely sa zameriavajú na normy ochrany utajovaných skutočností EÚ, ktoré sa týkajú ich konkrétnych oblastí. Podrobnosti o tejto ochrane utajovaných skutočností EÚ sa uvádzajú v prílohách II až V. V prílohe VI sa nachádza ekvivalenčná tabuľka utajovaných skutočností EÚ obsahujúca stupne utajenia využívané členskými štátmi a Európskym spoločenstvom pre atómovú energiu.
S cieľom uľahčiť príslušné procesy v tejto oblasti a zabrániť duplicite úsilia sa nariadením zriaďujú podskupiny pre informačnú bezpečnosť, neutajované skutočnosti, fyzickú bezpečnosť, certifikáciu komunikačných a informačných systémov, manipuláciu s utajovanými skutočnosťami EÚ a ich uchovávanie a pre spoločné využívanie utajovaných skutočností EÚ a výmenu utajovaných skutočností.
Záverečné ustanovenia (články 59 až 62)
V záverečných ustanoveniach sa zabezpečuje prechod zo súčasných predpisov a postupov na nový právny rámec stanovený týmto nariadením. Týkajú sa interných predpisov o bezpečnosti informácií, ktoré v súčasnosti platia v inštitúciách a orgánoch Únie, uznania hodnotiacich návštev vykonaných pred začatím uplatňovania nariadenia, zaobchádzania s administratívnymi dohodami uzavretými v minulosti a pokračovania konkrétnych bezpečnostných rámcov platných pre dohody o grantoch.
Toto nariadenie sa má začať uplatňovať po dvoch rokoch odo dňa nadobudnutia jeho účinnosti.
2022/0084 (COD)
Návrh
NARIADENIE EURÓPSKEHO PARLAMENTU A RADY
o bezpečnosti informácií v inštitúciách, orgánoch, úradoch a agentúrach Únie
EURÓPSKY PARLAMENT A RADA EURÓPSKEJ ÚNIE,
so zreteľom na Zmluvu o fungovaní Európskej únie, a najmä na jej článok 298,
so zreteľom na Zmluvu o založení Európskeho spoločenstva pre atómovú energiu, a najmä na jej článok 106a,
so zreteľom na návrh Európskej komisie,
po postúpení návrhu legislatívneho aktu národným parlamentom,
konajúc v súlade s riadnym legislatívnym postupom,
keďže:
(1)V súčasnosti majú inštitúcie a orgány Únie buď vlastné predpisy v oblasti bezpečnosti informácií vychádzajúce z ich rokovacieho poriadku alebo zakladajúceho aktu, alebo nemajú vôbec žiadne takéto predpisy. V uvedenej súvislosti všetky inštitúcie a orgány Únie vynakladajú značné úsilie na prijatie odlišných prístupov, čo vedie k tomu, že výmena informácií nie je vždy spoľahlivá. Nedostatočný spoločný prístup bráni nasadzovaniu spoločných nástrojov vychádzajúcich z dohodnutého súboru predpisov na základe bezpečnostných potrieb informácií, ktoré sa majú chrániť.
(2)Hoci sa dosiahol pokrok pri zavádzaní konzistentnejších predpisov na ochranu utajovaných skutočností Európskej únie a neutajovaných skutočností, interoperabilita príslušných systémov je naďalej obmedzená, čo bráni hladkému prenosu informácií medzi jednotlivými inštitúciami a orgánmi Únie. Je preto potrebné vyvinúť ďalšie úsilie na to, aby sa umožnil medziinštitucionálny prístup k spoločnému využívaniu utajovaných skutočností EÚ a citlivých neutajovaných skutočností, a to určením spoločných kategórií informácií a spoločných kľúčových zásad manipulácie s informáciami. Takisto by sa mal stanoviť základ na zjednodušenie postupov spoločného využívania utajovaných skutočností EÚ a citlivých neutajovaných skutočností medzi inštitúciami a orgánmi Únie a s členskými štátmi.
(3)Preto by sa mali stanoviť príslušné predpisy na zabezpečenie spoločnej úrovne bezpečnosti informácií vo všetkých inštitúciách a orgánoch Únie. Mali by predstavovať komplexný a súdržný všeobecný rámec ochrany utajovaných skutočností EÚ a neutajovaných skutočností a zabezpečovať rovnocennosť základných zásad a minimálnych noriem.
(4)Nedávna pandémia viedla k významnej zmene pracovných postupov, ktorá spočívala v tom, že nástroje diaľkovej komunikácie sa stali normou. Preto bolo množstvo postupov, ktoré boli ešte stále do istej miery papierové, rýchlo upravených tak, aby sa umožnilo elektronické spracovanie a výmena informácií. Tento vývoj si vyžaduje zmeny v oblasti manipulácie s informáciami a ochrany informácií. V tomto nariadení sa nové pracovné postupy zohľadňujú.
(5)V tomto nariadení sa vytvorením minimálnej spoločnej úrovne ochrany utajovaných skutočností EÚ a neutajovaných skutočností zabezpečuje, aby mali inštitúcie a orgány Únie pri vykonávaní svojho poslania podporu efektívnej a nezávislej administratívy. Zároveň si všetky inštitúcie a orgány Únie ponechávajú nezávislosť pri určovaní spôsobu vykonávania predpisov stanovených v tomto nariadení v súlade s vlastnými bezpečnostnými potrebami. Toto nariadenie v žiadnom prípade nebráni inštitúciám a orgánom Únie v plnení ich poslania, ktorým ich poverili právne predpisy EÚ, ani nezasahuje do ich inštitucionálnej autonómie.
(6)Týmto nariadením nie sú dotknuté nariadenie (Euratom) č. 3/1958, nariadenie (EHS) č. 31, (ESAE) č. 11, ktorým sa ustanovuje Služobný poriadok úradníkov a Podmienky zamestnávania ostatných zamestnancov Európskeho hospodárskeho spoločenstva a Európskeho spoločenstva pre atómovú energiu, nariadenie Európskeho parlamentu a Rady (ES) č. 1049/2001, nariadenie Európskeho parlamentu a Rady (EÚ) 2018/1725, nariadenie Rady (EHS, Euratom) č. 354/83, nariadenie Európskeho parlamentu a Rady (EÚ, Euratom) 2018/1046, nariadenie Európskeho parlamentu a Rady (EÚ) 2021/697, nariadenie Európskeho parlamentu a Rady (EÚ) [...], ktorým sa stanovujú opatrenia na zabezpečenie vysokej spoločnej úrovne kybernetickej bezpečnosti v inštitúciách, orgánoch, úradoch a agentúrach Únie.
(7)S cieľom zachovať osobitnú povahu činností Európskeho spoločenstva pre atómovú energiu regulovaných nariadením Rady Európskeho spoločenstva pre atómovú energiu č. 3/1958 by sa toto nariadenie nemalo uplatňovať na utajované skutočnosti Euratomu. Všetky informácie týkajúce sa ostatných činností Euratomu, na ktoré sa nevzťahuje nariadenie č. 3/1958, by však mali patriť do rozsahu pôsobnosti tohto nariadenia.
(8)S cieľom zaviesť formálnu štruktúru spolupráce medzi inštitúciami a orgánmi Únie v oblasti bezpečnosti informácií je potrebné zriadiť medziinštitucionálnu koordinačnú skupinu (ďalej len „koordinačná skupina“), v ktorej budú zastúpené bezpečnostné orgány všetkých inštitúcií a orgánov Únie. Koordinačná skupina nemá rozhodovacie právomoci a mala by zabezpečovať posilňovanie súdržnosti politík v oblasti bezpečnosti informácií a podieľať sa na harmonizácii postupov a nástrojov v rámci informačnej bezpečnosti vo všetkých inštitúciách a orgánoch Únie.
(9)Úsilie koordinačnej skupiny musia podporovať experti z rôznych oblastí bezpečnosti informácií: kategorizácie a označovania, komunikačných a informačných systémov, certifikácie, fyzickej bezpečnosti a spoločného využívania utajovaných skutočností EÚ a výmeny utajovaných skutočností. S cieľom zabrániť duplicite úsilia v inštitúciách a orgánoch Únie by sa mali zriadiť tematické podskupiny. Okrem toho by mala byť koordinačná skupina v prípade potreby schopná zriaďovať ďalšie podskupiny poverené špecifickými úlohami.
(10)Koordinačná skupina by mala úzko spolupracovať s národnými bezpečnostnými orgánmi členských štátov na posilňovaní bezpečnosti informácií v Únii. Preto by sa mal na účely poskytovania poradenstva koordinačnej skupine zriadiť Výbor pre bezpečnosť informácií.
(11)Keďže spoločné orgány zastupujúce všetky inštitúcie a orgány Únie sa zriaďujú na základe zásady spolupráce, všetky inštitúcie a orgány by mali byť naďalej plne zodpovedné za bezpečnosť informácií v rámci vlastnej organizácie. Všetky inštitúcie a orgány Únie by mali mať bezpečnostný orgán a v prípade potreby aj ďalšie orgány so špecifickými povinnosťami vo vzťahu k bezpečnosti informácií.
(12)Zásada riadenia rizík v oblasti bezpečnosti informácií by mala byť jadrom politiky, ktorú má v tejto oblasti vypracovať každá inštitúcia a orgán Únie. Keďže musia byť splnené minimálne požiadavky stanovené v tomto nariadení, všetky inštitúcie a orgány Únie by mali prijať osobitné bezpečnostné opatrenia na ochranu informácií vyplývajúce z výsledkov interného posúdenia rizík. Rovnako by sa mali technické prostriedky na ochranu informácií prispôsobiť konkrétnej situácii jednotlivých inštitúcií a orgánov.
(13)Vzhľadom na rozmanitosť kategórií neutajovaných skutočností, ktoré inštitúcie a orgány Únie vypracovali na základe vlastných predpisov v oblasti bezpečnosti informácií, a s cieľom zabrániť oneskorenému vykonávaniu tohto nariadenia by mali mať inštitúcie a orgány Únie možnosť ponechať si na interné účely alebo pri výmene informácií s konkrétnymi partnermi z iných inštitúcií a orgánov alebo z členských štátov vlastný systém označovania.
(14)Na účely prispôsobenia sa novým postupom telepráce by sa mali siete používané na prepájanie služieb vzdialeného prístupu v rámci inštitúcie alebo orgánu Únie chrániť primeranými bezpečnostnými opatreniami.
(15)Keďže inštitúcie a orgány Únie často využívajú dodávateľov a externé zdroje, je dôležité zaviesť spoločné ustanovenia týkajúce sa zamestnancov dodávateľov vykonávajúcich úlohy v súvislosti s bezpečnosťou informácií.
(16)Hmotnoprávne pravidlá prístupu k utajovaným skutočnostiam EÚ v interných predpisoch rôznych inštitúcií a orgánov Únie sú v súčasnosti zosúladené, stále však panujú značné rozdiely, pokiaľ ide o názvy a požadované postupy. Tým sa zaťažujú národné bezpečnostné orgány členských štátov, ktoré sa musia prispôsobovať rôznym požiadavkám. Preto je potrebné vypracovať spoločný slovník pojmov a spoločné postupy v oblasti personálnej bezpečnosti, čím sa zjednoduší spolupráca s národnými bezpečnostnými orgánmi členských štátov a obmedzí riziko prezradenia utajovaných skutočností EÚ.
(17)Vzhľadom na rozmanitosť zdrojov medzi inštitúciami a orgánmi Únie a s cieľom uľahčiť ich príslušné postupy a prax možno úlohy súvisiace s bezpečnostnými previerkami zveriť Komisii, aby sa zabezpečilo pokračovanie dlhodobej praxe v oblasti bezpečnostných previerok a prispelo k centralizácii úloh pridelených jednotlivým bezpečnostným orgánom.
(18)Ochrana utajovaných skutočností EÚ sa zabezpečuje aj technickými a organizačnými opatreniami, ktoré sa uplatňujú na priestory, budovy, miestnosti, kancelárie alebo zariadenia inštitúcií a orgánov Únie, v ktorých sa o utajovaných skutočnostiach EÚ diskutuje, s týmito skutočnosťami manipuluje alebo sa tieto skutočnosti uchovávajú. V tomto nariadení sa stanovuje vykonávanie procesu riadenia rizika bezpečnosti informácií v oblasti fyzickej bezpečnosti, na základe ktorého sa inštitúciám a orgánom Únie umožní vybrať si vhodné bezpečnostné opatrenia pre svoje pracoviská.
(19)Všetky inštitúcie a orgány Únie, ktoré manipulujú s utajovanými skutočnosťami EÚ alebo tieto skutočnosti uchovávajú, by mali na svojich pracoviskách zriadiť fyzicky chránené priestory, s cieľom zabezpečiť rovnakú úroveň ochrany príslušných úrovní pre utajované skutočnosti EÚ, s ktorými sa v nich manipuluje a ktoré sa tam uchovávajú. Uvedené priestory by mali byť označené ako administratívne priestory a zabezpečené priestory a mali by zodpovedať spoločným minimálnym normám ochrany utajovaných skutočností EÚ.
(20)Pôvodcovská kontrola predstavuje dôležitú zásadu správy utajovaných skutočností EÚ, preto je potrebné ju jednoznačne stanoviť a vypracovať. V tomto zmysle sa vytvorením utajovaných skutočností EÚ zveruje pôvodcovi zodpovednosť, ktorá by sa mala vzťahovať na celý životný cyklus príslušného dokumentu s utajovanými skutočnosťami EÚ.
(21)Inštitúcie a orgány Únie tradične vyvíjajú svoje komunikačné a informačné systémy nezávisle, pričom nevenujú dostatočnú pozornosť ich interoperabilite medzi všetkými inštitúciami a orgánmi Únie. Preto je potrebné zaviesť minimálne bezpečnostné požiadavky na komunikačné a informačné systémy, v ktorých sa manipuluje s utajovanými skutočnosťami EÚ aj s neutajovanými skutočnosťami a v ktorých sa tieto skutočnosti uchovávajú, aby sa zaručila hladká výmena informácií s príslušnými zainteresovanými stranami.
(22)S cieľom dosiahnuť jednotný štandard certifikácie komunikačných a informačných systémov, v ktorých sa manipuluje s utajovanými skutočnosťami EÚ a v ktorých sa tieto skutočnosti uchovávajú, by mali inštitúcie a orgány Únie spolupracovať v skupine zriadenej na tento účel. Odporúča sa, aby uvedený štandard používali všetky inštitúcie a orgány Únie s cieľom prispieť k všeobecnej úrovni ochrany utajovaných skutočností EÚ. Ak však ide o organizačnú autonómiu, rozhodnutie je naďalej na príslušnom orgáne každej inštitúcie alebo orgánu.
(23)Všetky inštitúcie a orgány Únie by mali postupovať rovnako a pri uzatváraní a vykonávaní utajovaných zmlúv alebo dohôd o grantoch uplatňovať rovnaké opatrenia. Preto je potrebné jednoznačne stanoviť povinné aj nepovinné prvky utajovaných zmlúv a dohôd o grantoch. Pri opatreniach na ochranu utajovaných skutočností EÚ v súvislosti s utajovanými zmluvami a dohodami o grantoch by sa však malo prihliadať aj na predpisy, ktoré už osobitne v tejto oblasti vypracovali inštitúcie a orgány Únie spoločne s členskými štátmi.
(24)Úzka spolupráca medzi inštitúciami a orgánmi Únie, ako aj množstvo synergií, ktoré medzi nimi vznikli, sa týkajú aj spoločného využívania veľkého objemu informácií. Z dôvodu bezpečnosti utajovaných skutočností by sa mala posúdiť dôveryhodnosť inštitúcií alebo orgánov EÚ, ktoré majú manipulovať s utajovanými skutočnosťami EÚ určeného stupňa utajenia a uchovávať ich.
(25)Okrem toho by sa spoločné využívanie utajovaných skutočností EÚ inštitúciami a orgánmi Únie a výmena informácií s medzinárodnými organizáciami a tretími krajinami mali regulovať primeranými bezpečnostnými opatreniami na ochranu uvedených informácií. Na predpokladané dohody o bezpečnosti informácií sa uplatňujú ustanovenia článku 218 zmluvy.
(26)Dohody o bezpečnosti informácií majú zabezpečovať celkový právny rámec výmeny utajovaných skutočností Únie s tretími krajinami a medzinárodnými organizáciami. Takisto je potrebné umožniť inštitúciám a orgánom Únie uzatvárať administratívne dohody s konkrétnym partnerom z tretej krajiny alebo medzinárodnej organizácie na účely výmeny utajovaných skutočností EÚ.
(27)V tomto nariadení sa stanovuje rámec spoločný pre všetky inštitúcie a orgány Únie. S cieľom zabrániť nadmernej administratívnej záťaži inštitúcií a orgánov Únie v procese prispôsobenia ich interných bezpečnostných predpisov predpisom stanoveným v tomto nariadení by sa toto nariadenie malo začať uplatňovať po dvoch rokoch od nadobudnutia svojej účinnosti.
(28)V súlade s odsekmi 22 a 23 Medziinštitucionálnej dohody z 13. apríla 2016 o lepšej tvorbe práva by mala Komisia vyhodnotiť toto nariadenie s cieľom posúdiť jeho skutočné účinky a potrebu akýchkoľvek ďalších opatrení. Komisia by mala predložiť Európskemu parlamentu a Rade správu o vykonávaní tohto nariadenia, a to najneskôr tri roky odo dňa začatia jeho uplatňovania.
(29)S európskym dozorným úradníkom pre ochranu údajov sa konzultovalo v súlade s článkom 42 nariadenia Európskeho parlamentu a Rady (EÚ) 2018/1725 a európsky dozorný úradník pre ochranu údajov vydal stanovisko ...
PRIJALI TOTO NARIADENIE:
Kapitola 1
Všeobecné ustanovenia
Článok 1
Predmet úpravy
1.V tomto nariadení sa stanovujú predpisy v oblasti bezpečnosti informácií pre všetky inštitúcie a orgány Únie.
Článok 2
Rozsah pôsobnosti
1.Toto nariadenie sa uplatňuje na všetky informácie, s ktorými manipulujú a ktoré uchovávajú inštitúcie a orgány Únie, vrátane informácií súvisiacich s činnosťami Európskeho spoločenstva pre atómovú energiu, s výnimkou utajovaných skutočností Euratomu.
2.Uplatňuje sa na tieto stupne dôvernosti informácií:
a)tri stupne neutajovaných skutočností: verejné použitie, bežné použitie a citlivé neutajované skutočnosti;
b)štyri stupne utajovaných skutočností EÚ: RESTREINT UE/EU RESTRICTED, CONFIDENTIEL UE/EU CONFIDENTIAL, SECRET UE/EU SECRET, TRES SECRET UE/EU TOP SECRET.
3.Tieto stupne sa určujú na základe škôd, ktoré by mohli vzniknúť po neoprávnenom zverejnení oprávneným súkromným aj verejným záujmom vrátane záujmov Únie, inštitúcií a orgánov Únie a členských štátov alebo iných zainteresovaných strán, pričom podľa uvedených stupňov sa uplatňujú primerané ochranné opatrenia.
Článok 3
Vymedzenie pojmov
Na účely tohto nariadenia sa uplatňuje toto vymedzenie pojmov:
a)„informácie“ sú všetky údaje v ústnej, vizuálnej, elektronickej, magnetickej alebo fyzickej podobe alebo vo forme veci, zariadenia alebo technológie, pričom zahŕňajú aj reprodukcie, preklady a veci vo fáze vývoja;
b)„bezpečnosť informácií“ je zabezpečovanie hodnovernosti, dostupnosti, dôvernosti, integrity a nespochybniteľnosti informácií;
c)„manipulácia“ s informáciami je akýkoľvek možný úkon v súvislosti s informáciami, ktorý sa môže vykonať počas ich životného cyklu; zahŕňa ich vytváranie, zhromažďovanie, evidenciu, priradenie stupňa dôvernosti, spracúvanie, zobrazenie, konzultovanie, prepravu, prenos, zníženie stupňa utajenia, zrušenie utajenia, archivovanie a zničenie;
d)„uchovávanie“ je uloženie informácií na akomkoľvek nosiči s cieľom zabezpečiť ich dostupnosť v budúcnosti;
e)„inštitúcie a orgány Únie“ sú inštitúcie, orgány, úrady a agentúry Únie zriadené Zmluvou o Európskej únii, Zmluvou o fungovaní Európskej únie, Zmluvou o založení Európskeho spoločenstva pre atómovú energiu alebo legislatívnym aktom alebo na ich základe;
f)„utajované skutočnosti Euratomu“ sú informácie v zmysle nariadenia Rady Európskeho spoločenstva pre atómovú energiu č. 3/1958;
g)„bezpečnostný orgán“ je bezpečnostná funkcia každej inštitúcie a každého orgánu Únie, ktorá je určená v súlade s jej rokovacím poriadkom alebo zakladajúcim aktom;
h)„proces riadenia rizík v oblasti bezpečnosti informácií“ je celý proces zameraný na rozpoznávanie, kontrolu a minimalizáciu neistých udalostí, ktoré môžu mať vplyv na bezpečnosť organizácie alebo systémov, ktoré používa; zahŕňa všetky činnosti týkajúce sa rizík vrátane ich posudzovania, riešenia, akceptácie a oznamovania;
i)„majetok“ je všetko, čo má hodnotu pre inštitúciu alebo orgán Únie, ich prevádzkové činnosti a kontinuitu vrátane informačných zdrojov, ktoré pomáhajú plniť ich poslanie;
j)„operačné bezpečnostné postupy“ sú súbor zdokumentovaných postupov podľa prílohy III na prevádzku zabezpečeného priestoru, komunikačného a informačného systému alebo iného bezpečnostného majetku či služby s cieľom zabezpečiť ich účinnosť;
k)„komunikačný a informačný systém“ alebo „CIS“ je akýkoľvek systém umožňujúci manipuláciu s informáciami a ich uchovávanie v elektronickej podobe vrátane všetkého majetku potrebného na jeho prevádzku;
l)„informačná bezpečnosť“ je istota, že komunikačné a informačné systémy ochránia informácie, s ktorými sa v nich manipuluje a ktoré uchovávajú, a budú fungovať vtedy a tak, ako majú, pod dohľadom oprávnených používateľov, pričom zabezpečia primeranú úroveň hodnovernosti, dostupnosti, dôvernosti, integrity a nespochybniteľnosti;
m)„certifikácia“ je formálne povolenie, ktoré orgán bezpečnostnej certifikácie vydá pre komunikačný a informačný systém na spracovanie utajovaných skutočností EÚ s vopred určeným stupňom utajenia alebo pre zabezpečený priestor na ich uchovávanie;
n)„certifikačný proces“ sú kroky a úlohy potrebné pred certifikáciou;
o)„bezpečnostné opatrenia TEMPEST“ sú opatrenia na ochranu každého komunikačného a informačného systému, v rámci ktorého sa manipuluje s informáciami so stupňom utajenia CONFIDENTIEL UE/EU CONFIDENTIAL alebo vyšším a v rámci ktorého sa takéto informácie uchovávajú, pred vyzradením takýchto informácií prostredníctvom neúmyselného elektromagnetického vyžarovania;
p)„CERT-EU“ je centrum kybernetickej bezpečnosti pre inštitúcie a orgány Únie v zmysle nariadenia Európskeho parlamentu a Rady (EÚ) [...], ktorým sa stanovujú opatrenia na zabezpečenie vysokej spoločnej úrovne kybernetickej bezpečnosti v inštitúciách, orgánoch, úradoch a agentúrach Únie;
q)„incident v oblasti bezpečnosti informácií“ je každá udalosť, ktorá môže ohroziť hodnovernosť, dostupnosť, dôvernosť, integritu alebo nespochybniteľnosť uchovávaných, prenášaných alebo spracúvaných informácií;
r)„potreba poznať“ je nutnosť, aby osoba v záujme plnenia úloh inštitúcie alebo orgánu EÚ mala prístup k určeným informáciám, s ktorými daná inštitúcia alebo orgán Únie manipuluje alebo ich uchováva;
s)„nulová dôvera“ je bezpečnostný model, súbor zásad navrhovania systémov a koordinovaná stratégia kybernetickej bezpečnosti a riadenia systému založená na uznaní existencie hrozieb v rámci tradičných hraníc siete aj mimo nich;
t)„označenie“ je značka pridelená informáciám, aby sa zabezpečilo uplatňovanie primeraných bezpečnostných opatrení;
u)„bezpečnostné označenie“ je označenie stupňa dôvernosti informácií;
v)„označenie distribúcie“ je označenie adresátov v rámci inštitúcie alebo orgánu Únie, z ktorého informácie im určené pochádzajú;;
w)„označenie prístupnosti“ je označenie adresátov mimo inštitúcie alebo orgánu Únie, z ktorého informácie pre nich povolené pochádzajú;
x)„vlastník systému“ je osoba zodpovedná za celkové obstaranie, vývoj, integráciu, modifikáciu, prevádzku, údržbu a odstavenie komunikačného a informačného systému;
y)„hrozba pre bezpečnosť informácií“ je udalosť alebo činiteľ, v prípade ktorých možno odôvodnene očakávať, že nepriaznivo ovplyvnia bezpečnosť informácií, ak sa na ne nebude reagovať alebo ak sa nad nimi nezíska kontrola;
z)„zraniteľnosť“ je slabá stránka, citlivé miesto alebo chyba majetku, systému, procesu alebo kontroly, ktorú možno zneužiť v rámci jednej alebo viacerých hrozieb;
aa)„riziko“ je možný nepriaznivý účinok danej hrozby spočívajúci v možnom zneužití vnútorných alebo vonkajších zraniteľností inštitúcie alebo orgánu Únie alebo niektorého z používaných systémov, ktorého dôsledkom je poškodenie oprávnených súkromných aj verejných záujmov, pričom sa meria ako kombinácia pravdepodobnosti výskytu hrozieb a ich vplyvu;
ab)„zvyškové riziko“ je riziko, ktoré zostáva po vykonaní bezpečnostných opatrení;
ac)„posúdenie rizika“ je identifikácia hrozieb a zraniteľností a vykonanie analýzy súvisiacich rizík, t. j. analýzy pravdepodobnosti a následkov;
ad)„ošetrenie rizika“ je zmiernenie, odstránenie a obmedzenie rizika (prostredníctvom vhodnej kombinácie technických, fyzických, organizačných a procesných opatrení), prenesenie rizika alebo jeho monitorovanie;
ae)„európsky certifikát kybernetickej bezpečnosti“ je certifikát v zmysle článku 2 ods. 11 nariadenia (EÚ) 2019/881;
af)„držiteľ“ je riadne oprávnená osoba, u ktorej sa zistila potreba poznať a ktorá má v držbe informáciu, ktorá si vyžaduje ochranu, a preto zodpovedá za jej ochranu;
ag)„vec“ je každý dokument, nosič dát alebo prístroj či zariadenie vyrobené alebo v procese výroby;
ah)„utajovaná skutočnosť Európskej únie“ alebo je každá informácia alebo vec označená stupňom utajenia EÚ, ktorej neoprávnené zverejnenie by mohlo v rôznej miere poškodiť záujmy Únie alebo jedného či viacerých jej členských štátov;
ai)„povolenie na prístup k utajovaným skutočnostiam EÚ“ je rozhodnutie bezpečnostného orgánu, ktorým sa môže úradníkovi, inému štátnemu zamestnancovi alebo vyslanému národnému expertovi inštitúcie alebo orgánu Únie udeliť na stanovený čas prístup k utajovaným skutočnostiam EÚ až do určitého stupňa utajenia;
aj)„národný bezpečnostný orgán“ alebo „NSA“ je orgán štátnej správy členského štátu, ktorý nesie konečnú zodpovednosť za bezpečnosť utajovaných skutočností v danom členskom štáte;
ak)„určený bezpečnostný orgán“ alebo „DSA“ je orgán členského štátu (NSA alebo akýkoľvek iný príslušný orgán) zodpovedný za poskytovanie usmernení a pomoci pri vykonávaní postupov v oblasti priemyselnej bezpečnosti alebo pri previerkach, prípadne obidvoch;
al)„bezpečnostné vyšetrovanie“ sú vyšetrovacie postupy vykonávané príslušným vnútroštátnym orgánom členského štátu v súlade s jeho vnútroštátnym právom a právnymi predpismi s cieľom získať ubezpečenie, že nie je známe nič, čo by bránilo udeliť určitej osobe bezpečnostnú previerku do určeného stupňa utajenia (CONFIDENTIEL UE/EU CONFIDENTIAL alebo vyššieho);
am)„fyzická bezpečnosť“ je uplatňovanie fyzických, technických a organizačných opatrení na priestory, budovy, miestnosti, kancelárie alebo zariadenia inštitúcie alebo orgánu Únie, ktoré si vyžadujú ochranu pred neoprávneným prístupom k informáciám, s ktorými sa v nich manipuluje, ktoré sa v nich uchovávajú alebo o ktorých sa v nich diskutuje;
an)„pracoviská“ sú priestory, budovy, miestnosti, kancelárie alebo zariadenia inštitúcie alebo orgánu Únie;
ao)„hĺbková ochrana“ je druh bezpečnosti, pri ktorej sa využíva viacero nezávislých úrovní bezpečnostných kontrol, aby v prípade zlyhania jednej vrstvy zabezpečila obranu ďalšia vrstva;
ap)„kryptografický materiál“ sú kryptografické algoritmy, hardvérové a softvérové kryptografické moduly a produkty vrátane údajov o ich implementácii, príslušnej dokumentácie a kryptografických kľúčov;
aq)„kryptografický produkt“ je produkt, ktorého primárnou a hlavnou funkciou je poskytovať bezpečnostné služby (hodnovernosť, dostupnosť, dôvernosť, integritu a nespochybniteľnosť) prostredníctvom jedného alebo viacerých kryptografických mechanizmov;
ar)„pôvodca“ je inštitúcia alebo orgán Únie, členský štát, tretia krajina alebo medzinárodná organizácia, v ktorej právomoci sa utajované skutočnosti vytvorili alebo zaviedli do štruktúr Únie;
as)„dokument“ je každý obsah bez ohľadu na príslušné médium (na papieri, v elektronickej forme, vo forme magnetického záznamu alebo v inej forme) v písomnej podobe alebo ako vizuálny alebo audiovizuálny záznam;
at)„evidencia na bezpečnostné účely“ je uplatňovanie postupov, ktorými sa zaznamenáva životný cyklus veci vrátane jej distribúcie a zničenia;
au)„zrušenie utajenia“ je odňatie bezpečnostného utajenia;
av)„zníženie stupňa utajenia“ je preklasifikovanie na nižší stupeň utajenia;
aw)„utajovaná zmluva“ je rámcová zmluva alebo zmluva podľa nariadenia Európskeho parlamentu a Rady (EÚ, Euratom) 2018/1046, ktorú inštitúcia alebo orgán Únie uzavrie s dodávateľom na dodávku hnuteľného alebo nehnuteľného majetku, vykonanie prác alebo poskytnutie služieb, ktorých plnenie si vyžaduje alebo zahŕňa manipuláciu s utajovanými skutočnosťami EÚ vrátane ich vytvárania alebo uchovávania;
ax)„utajovaná dohoda o grante“ je dohoda, ktorou inštitúcia alebo orgán Únie udelí grant, ako sa uvádza v hlave VIII nariadenia (EÚ, Euratom) 2018/1046, a ktorej plnenie si vyžaduje alebo zahŕňa manipuláciu s utajovanými skutočnosťami EÚ vrátane ich vytvorenia alebo uchovávania;
ay)„utajovaná subdodávateľská zmluva“ je zmluva, ktorú dodávateľ alebo príjemca z inštitúcie alebo orgánu Únie uzavrel so subdodávateľom na dodávku hnuteľného alebo nehnuteľného majetku, vykonanie prác alebo poskytnutie služieb, a ktorej plnenie si vyžaduje alebo zahŕňa manipuláciu s utajovanými skutočnosťami EÚ vrátane ich vytvárania alebo uchovávania;
az)„bezpečnostné pokyny pre program alebo projekt“ alebo „PSI“ je zoznam bezpečnostných postupov, ktoré sa uplatňujú v rámci konkrétneho programu alebo projektu s cieľom štandardizovať bezpečnostné postupy;
ba)„bezpečnostná doložka“ alebo „SAL“ je súbor osobitných zmluvných podmienok vydaných verejným obstarávateľom alebo orgánom poskytujúcim grant, v ktorom sa stanovujú bezpečnostné požiadavky alebo prvky zmluvy alebo grantu vyžadujúce si bezpečnostnú ochranu a ktorý tvorí neoddeliteľnú súčasť každej utajovanej zmluvy alebo dohody o grante, ktorá si vyžaduje prístup k utajovaným skutočnostiam EÚ alebo v rámci ktorej sa takéto utajované skutočnosti vytvárajú;
bb)„sprievodca stupňami utajenia“ alebo „SCG“ je dokument, v ktorom sa opisujú prvky programu, projektu, zmluvy alebo dohody o grante, ktoré sú utajené, pričom sa v ňom uvádzajú uplatniteľné stupne utajenia.
Článok 4
Všeobecné zásady
1.Všetky inštitúcie a orgány Únie zodpovedajú za vykonávanie ustanovení tohto nariadenia v rámci svojej organizácie s prihliadnutím na vlastný proces riadenia rizika v oblasti bezpečnosti informácií.
2.
Nedodržiavanie tohto nariadenia, najmä neoprávnené zverejňovanie informácií so stupňami dôvernosti uvedenými v článku 2 ods. 2, s výnimkou informácií určených na verejné použitie, podlieha vyšetrovaniu a môže viesť k zodpovednosti zamestnancov v súlade so zmluvami alebo príslušnými služobnými predpismi.
3.Inštitúcie a orgány Únie posudzujú všetky informácie, s ktorými manipulujú a ktoré uchovávajú, aby ich mohli kategorizovať v súlade so stupňami dôvernosti uvedenými v článku 2 ods. 2.
4.Inštitúcie a orgány Únie určujú potreby v oblasti bezpečnosti všetkých informácií, s ktorými manipulujú a ktoré uchovávajú, na základe týchto aspektov:
a)hodnovernosť: záruka, že informácie sú pravé a pochádzajú z dôveryhodných zdrojov;
b)dostupnosť: prístupnosť a použiteľnosť na požiadanie oprávneného subjektu;
c)dôvernosť: nesprístupnenie informácií neoprávneným jednotlivcom, subjektom alebo procesom;
d)integrita; skutočnosť, že informácie sú úplné a úplnosť informácií nebola upravená;
e)nespochybniteľnosť: schopnosť preukázať, že sa činnosť alebo udalosť uskutočnila, takže túto činnosť alebo udalosť nie je možné následne poprieť.
5.V prípade každého komunikačného a informačného systému, za ktorý zodpovedajú, určia inštitúcie a orgány Únie najvyšší stupeň dôvernosti informácií, s ktorými sa môže v danom komunikačnom a informačnom systéme manipulovať a ktoré sa v ňom môžu uchovávať, vykonávajú posúdenia rizík bezpečnosti informácií a pravidelne monitorujú potreby v oblasti bezpečnosti, ako aj správne vykonávanie určených ochranných opatrení.
6.Všetky inštitúcie a orgány Únie zabezpečujú činnosti odbornej prípravy a zvyšovania informovanosti o manipulácii s neutajovanými skutočnosťami a utajovanými skutočnosťami EÚ a o ich uchovávaní.
Inštitúcie a orgány Únie, ktoré manipulujú s utajovanými skutočnosťami EÚ a uchovávajú ich, organizujú pre všetkých jednotlivcov oprávnených na prístup k utajovaným skutočnostiam EÚ povinnú odbornú prípravu aspoň každých päť rokov. Príslušné inštitúcie a orgány Únie organizujú osobitnú odbornú prípravu týkajúcu sa špecifických funkcií vykonávaných v rámci úloh v oblasti bezpečnosti informácií.
Inštitúcia alebo orgán Únie môže koordinovať takéto činnosti odbornej prípravy a zvyšovania informovanosti s ostatnými inštitúciami a orgánmi Únie.
Článok 5
Proces riadenia rizika v oblasti bezpečnosti informácií
1.Každá inštitúcia a každý orgán Únie zavedie proces riadenia rizík v oblasti bezpečnosti informácií na ochranu informácií, s ktorými manipuluje a ktoré uchováva.
2.Proces riadenia rizika v oblasti bezpečnosti informácií zahŕňa tieto kroky:
a)identifikácia hrozieb a zraniteľnosti;
b)posúdenie rizika;
c)ošetrenie rizika;
d)akceptácia rizika;
e)oznamovanie rizika.
3.Pri procese riadenia rizika v oblasti bezpečnosti informácií sa prihliada na všetky faktory relevantné pre dotknutú inštitúciu alebo dotknutý orgán, a najmä na:
a)stupeň dôvernosti informácie a súvisiace právne záväzky;
b)formu a objem informácií a zariadení alebo komunikačných a informačných systémov, v rámci ktorých sa s informáciami manipuluje alebo v ktorých sa informácie uchovávajú;
c)osoby, ktoré majú prístup k informáciám na pracovisku alebo na diaľku;
d)okolité prostredie a štruktúru budov alebo priestorov, v ktorých sa informácie uchovávajú;
e)hrozby zacielené na Úniu, inštitúcie a orgány Únie alebo členské štáty v podobe kybernetických útokov, útokov na dodávateľské reťazce, špionáže, sabotáže a teroristických, podvratných alebo iných trestných činností;
f)kontinuitu prevádzky a obnovu systému po havárii;
g)výsledky kontrol, auditov, prípadne hodnotiacich návštev.
Kapitola 2
Riadenie a organizácia bezpečnosti
Článok 6
Medziinštitucionálna koordinačná skupina pre bezpečnosť informácií
1.Zriaďuje sa Medziinštitucionálna koordinačná skupina pre bezpečnosť informácií (ďalej len „koordinačná skupina“).
Pozostáva zo všetkých bezpečnostných orgánov v rámci inštitúcií a orgánov Únie a má mandát vymedziť ich vlastnú spoločnú politiku v oblasti bezpečnosti informácií.
2.Koordinačná skupina na základe konsenzu a v spoločnom záujme všetkých inštitúcií a orgánov Únie:
a)prijíma rokovací poriadok a ročné spoločné ciele a priority;
b)prijíma rozhodnutia o zriadení tematických podskupín a ich mandáte;
c)vypracúva v spolupráci s Medziinštitucionálnou radou pre kybernetickú bezpečnosť usmerňovacie dokumenty o vykonávaní tohto nariadenia podľa článku 9 nariadenia EÚ [...], ktorým sa stanovujú opatrenia na zabezpečenie vysokej spoločnej úrovne kybernetickej bezpečnosti v inštitúciách, orgánoch, úradoch a agentúrach Únie;
d)zriaďuje špecializované platformy na spoločné využívanie najlepších postupov a poznatkov týkajúcich sa spoločných tém súvisiacich s bezpečnosťou informácií, ako aj na poskytovanie pomoci v prípade incidentov v oblasti bezpečnosti informácií;
e)zabezpečuje potrebné koordinovanie bezpečnostných opatrení s príslušnými národnými bezpečnostnými orgánmi na účely ochrany utajovaných skutočností EÚ.
3.Koordinačná skupina určí spomedzi svojich členov predsedu a dvoch podpredsedov na obdobie 3 rokov.
4.Koordinačná skupina sa stretáva aspoň raz ročne na podnet svojho predsedu alebo na žiadosť inštitúcie alebo orgánu Únie.
5.Koordinačná skupina má administratívnu podporu stáleho sekretariátu, ktorý poskytuje Komisia.
6.Všetky inštitúcie alebo orgány Únie sú primerane zastúpené v koordinačnej skupine a prípadne v tematických podskupinách.
7.Inštitúcie a orgány Únie upozornia koordinačnú skupinu na každý významný vývoj politiky v oblasti bezpečnosti informácií v rámci svojej organizácie.
8.Koordinačnej skupine pri plnení úloh uvedených v odseku 2 písm. e) pomáha výbor pre bezpečnosť informácií. Tento výbor tvorí jeden zástupca z každého národného bezpečnostného orgánu a predsedá mu sekretariát koordinačnej skupiny uvedený v odseku 5. Výbor pre bezpečnosť informácií má poradnú úlohu.
Článok 7
Tematické podskupiny
1.Koordinačná skupina vytvorí tieto stále tematické podskupiny na uľahčenie vykonávania tohto nariadenia:
a)podskupina pre informačnú bezpečnosť;
b)podskupina pre neutajované skutočnosti;
c)podskupina pre fyzickú bezpečnosť;
d)podskupina pre certifikáciu komunikačných a informačných systémov, v ktorých sa manipuluje s utajovanými skutočnosťami EÚ a v ktorých sa takéto skutočnosti uchovávajú;
e)podskupina pre spoločné využívanie utajovaných skutočností EÚ a výmenu utajovaných skutočností.
2.V prípade potreby môže koordinačná skupina zriadiť ad hoc podskupiny pre konkrétnu úlohu a na obmedzený čas.
3.Ak nie je v ich mandáte ustanovené inak, podskupiny sú založené na otvorenom členstve zastupujúcom príslušnú inštitúciu alebo príslušný orgán Únie. Členmi podskupín sú odborníci v príslušnej oblasti pôsobnosti.
4.Sekretariát koordinačnej skupiny uvedený v článku 5 ods. 5 podporuje prácu všetkých podskupín a zabezpečuje komunikáciu medzi členmi.
Článok 8
Organizácia bezpečnosti
1.Každá inštitúcia a každý orgán Únie určí bezpečnostný orgán, ktorý prevezme povinnosti pridelené týmto nariadením a prípadne jeho vnútornými bezpečnostnými predpismi. Pri vykonávaní svojich úloh má každý bezpečnostný orgán podporu oddelenia alebo úradníka povereného úlohami v oblasti bezpečnosti informácií.
2.Bezpečnostný orgán každej inštitúcie a orgánu Únie v prípade potreby prijme vnútorné vykonávacie predpisy na ochranu informácií v súlade s ich osobitným poslaním, ktorým ich poverili právne predpisy EÚ, a na základe ich inštitucionálnej autonómie.
3.Každý bezpečnostný orgán v prípade potreby pôsobí aj ako:
a)orgán pre informačnú bezpečnosť zodpovedný za vypracovanie bezpečnostných politík a bezpečnostných usmernení v oblasti informačnej bezpečnosti a monitorovanie ich účinnosti a vhodnosti;
b)operačný orgán pre informačnú bezpečnosť zodpovedný za vypracovanie bezpečnostnej dokumentácie, najmä operačných bezpečnostných postupov a šifrovacej stratégie v rámci certifikačného procesu komunikačných a informačných systémov;
c)orgán bezpečnostnej certifikácie zodpovedný za certifikáciu zabezpečených priestorov a CIS, v ktorom sa manipuluje s utajovanými skutočnosťami EÚ a v ktorom sa takéto skutočnosti uchovávajú;
d)orgán pre TEMPEST zodpovedný za schvaľovanie opatrení prijatých na ochranu pred vyzradením utajovaných skutočností EÚ prostredníctvom neúmyselného elektrického vyžarovania;
e)kryptografický schvaľovací orgán zodpovedný za schvaľovanie používania šifrovacích technológií na základe žiadosti vlastníka systému;
f)kryptografický distribučný orgán zodpovedný za distribúciu kryptografických materiálov používaných na ochranu utajovaných skutočností EÚ (šifrovacie zariadenie, kryptografické kľúče, certifikáty a súvisiace autentifikátory) príslušným používateľom.
4.Zodpovednosti jedného alebo viacerých orgánov uvedených v odseku 3 možno delegovať na inú inštitúciu alebo iný orgán Únie, ak decentralizované zaisťovanie bezpečnosti prinesie významné úspory z hľadiska účinnosti, zdrojov alebo času.
Kapitola 3
Informačná bezpečnosť a komunikačné a informačné systémy (CIS)
Článok 9
Zásady informačnej bezpečnosti
1.Posúdenie potrieb bezpečnosti informácií sa zohľadňuje v prípade všetkých komunikačných a informačných systémov vrátane interných, externých a hybridných komunikačných a informačných systémov, a to od začiatku ich vytvárania alebo vo fáze obstarávania.
2.Každý komunikačný a informačný systém, v ktorom sa manipuluje s utajovanými skutočnosťami EÚ alebo v ktorom sa takéto skutočnosti uchovávajú, musí byť certifikovaný v súlade s kapitolou 5, oddielom 5. Každý komunikačný a informačný systém, v ktorom sa manipuluje s citlivými neutajovanými skutočnosťami alebo v ktorom sa takéto skutočnosti uchovávajú, musí spĺňať minimálne požiadavky na citlivé neutajované skutočnosti v komunikačných a informačných systémoch stanovené v kapitole 4.
Článok 10
Podskupina pre informačnú bezpečnosť
1.Podskupina pre informačnú bezpečnosť, ako sa uvádza v článku 7 ods. 1 písm. a), má tieto úlohy a povinnosti:
a)poskytovanie usmernení a najlepších postupov týkajúcich sa označovania, manipulácie a uchovávania informácií v CIS v úzkej spolupráci s Medziinštitucionálnou radou pre kybernetickú bezpečnosť podľa článku 9 nariadenia EÚ [XXX], ktorým sa stanovujú opatrenia na zabezpečenie vysokej spoločnej úrovne kybernetickej bezpečnosti v inštitúciách, orgánoch, úradoch a agentúrach Únie;
b)vytvorenie systému metaúdajov pre označenia a všetky potrebné technické informácie s cieľom prispieť k interoperabilnej a bezproblémovej výmene informácií medzi inštitúciami a orgánmi Únie pri prepojení ich príslušných komunikačných a informačných systémov;
c)prispievanie k súdržnosti medzi predpismi v oblasti bezpečnosti informácií a základnou úrovňou kybernetickej bezpečnosti vo všetkých inštitúciách a orgánoch Únie podľa článku 5 nariadenia EÚ [XXX], ktorým sa stanovujú opatrenia na zabezpečenie vysokej spoločnej úrovne kybernetickej bezpečnosti v inštitúciách, orgánoch, úradoch a agentúrach Únie.
Článok 11
Požiadavky na komunikačné a informačné systémy
1.Inštitúcie a orgány Únie informujú používateľov o úrovniach dôvernosti informácií, s ktorými možno manipulovať a ktoré možno uchovávať v komunikačnom a informačnom systéme. Ak sa v komunikačnom a informačnom systéme manipuluje s viacerými úrovňami dôvernosti a spracúvajú sa viaceré úrovne dôvernosti, použijú sa metaúdaje a vizuálne označenia, aby sa zabezpečilo rozlíšenie rôznych úrovní.
2.Inštitúcie a orgány Únie určia používateľov komunikačného a informačného systéme pred tým, ako im poskytnú prístup k akejkoľvek inej úrovni dôvernosti, než je verejné použitie. Používatelia musia byť overení na úrovni zabezpečenia, ktorá je primeraná úrovni dôvernosti. V prípade potreby sa použije spoločný bezpečný systém identifikácie.
3.Pre všetky komunikačné a informačné systémy sa vedú primerané bezpečnostné záznamy, aby sa zabezpečilo rýchle vyšetrovanie v prípade narušenia bezpečnosti alebo úniku informácií. Takéto záznamy sa uchovávajú počas obdobia stanoveného v posúdení vplyvu na činnosť alebo v príslušných bezpečnostných politikách, a to nespochybniteľným spôsobom.
Ak sa v komunikačnom a informačnom systéme manipuluje s utajovanými skutočnosťami EÚ alebo sa v ňom uchovávajú takéto skutočnosti, musia sa viesť záznamy súvisiace s potrebou poznať a prístupom k informáciám až do zrušenia utajenia informácií. Bezpečnostný orgán musí mať možnosť vyhľadávať bezpečnostné záznamy a získať k nim prístup.
4.Inštitúcie a orgány Únie prijmú vnútorné pravidlá bezpečnosti komunikačných a informačných systémov s cieľom stanoviť vhodné bezpečnostné opatrenia v súlade s bezpečnostnými potrebami informácií, s ktorými sa má manipulovať a ktoré sa majú uchovávať, pričom sa zohľadnia jurisdikcie, v ktorých sa informácie uchovávajú, do ktorých sa prenášajú a v ktorých sa s nimi manipuluje. Medzi tieto opatrenia podľa potreby patria:
a)obmedzenia zemepisnej polohy;
b)zváženie možných konfliktov záujmov, bojkotov alebo pokút týkajúcich sa dodávateľov;
c)zmluvné ustanovenia na zaistenie bezpečnosti informácií;
d)šifrovanie neaktívnych a prenášaných informácií;
e)obmedzenia prístupu k informáciám inštitúcií a orgánov Únie pre personál dodávateľa;
f)ochrana osobných údajov v súlade s platnými právnymi predpismi o ochrane údajov.
5.Inštitúcie a orgány Únie spravujú svoje komunikačné a informačné systémy v súlade s týmito zásadami:
a)každý komunikačný a informačný systém má vlastníka systému alebo operačný orgán pre informačnú bezpečnosť, ktorý je zodpovedný za jeho bezpečnosť;
b)musí sa vykonať proces riadenia rizika v oblasti bezpečnosti informácií pokrývajúci aspekty informačnej bezpečnosti;
c)bezpečnostné požiadavky a operačné bezpečnostné postupy sa formálne vymedzia, vykonávajú, kontrolujú a preskúmavajú;
d)incidenty v oblasti bezpečnosti informácií sa formálne zaznamenávajú a sledujú v súlade s nariadením Ú [XXX], ktorým sa stanovujú opatrenia na zabezpečenie vysokej spoločnej úrovne kybernetickej bezpečnosti v inštitúciách, orgánoch, úradoch a agentúrach Únie.
Kapitola 4
Neutajované skutočnosti
Článok 12
Informácie na verejné použitie
1.Informácie určené na verejné použitie alebo oficiálne uverejnenie alebo už uverejnené, ktoré možno bez obmedzení zdieľať v rámci inštitúcií a orgánov Únie alebo mimo nich, sa kategorizujú ako informácie na verejné použitie, tak sa nimi manipuluje a uchovávajú sa.
2.Inštitúcie a orgány Únie môžu informácie uvedené v odseku 1 označiť textom „PUBLIC USE“.
3.Všetky inštitúcie a orgány Únie zabezpečia integritu a dostupnosť informácií na verejné použitie vhodnými opatreniami na základe bezpečnostných potrieb.
Článok 13
Bežné informácie
1.Informácie určené na použitie inštitúciou alebo orgánom Únie pri výkone svojich funkcií, ktoré nie sú ani citlivé neutajované, ani na verejné použitie, sa kategorizujú ako bežné informácie, tak sa nimi manipuluje a uchovávajú sa. Táto kategória zahŕňa všetky informácie bežnej pracovnej úrovne spracúvané v príslušnej inštitúcii alebo príslušnom orgáne Únie.
2.Bežné informácie môžu byť označené vizuálne alebo v metaúdajoch, ak je to potrebné na zabezpečenie ich ochrany, najmä ak sa spoločne využívajú mimo inštitúcií a orgánov Únie. V takom prípade sa použije označenie „EU NORMAL“ alebo „názov alebo skratka inštitúcie alebo orgánu Únie NORMAL“ (podľa individuálneho prípadu).
3.Inštitúcie a orgány Únie vymedzia štandardné ochranné opatrenia pre bežné informácie, pričom zohľadnia usmernenia podskupiny pre neutajované skutočnosti a všetky špecifické riziká súvisiace s ich úlohami a činnosťami.
4.Bežné informácie sa mimo inštitúcií a orgánov Únie poskytujú iba fyzickým alebo právnickým osobám s potrebou poznať.
Článok 14
Citlivé neutajované skutočnosti
1.Inštitúcie a orgány Únie kategorizujú ako citlivé neutajované skutočnosti všetky informácie, ktoré nie sú utajené, ale ktoré musia chrániť z dôvodu zákonných povinností alebo z dôvodu škody, ktorá môže vzniknúť ich neoprávneným zverejnením pre oprávnené súkromné a verejné záujmy vrátane záujmov inštitúcií a orgánov Únie, členských štátov alebo jednotlivcov, pričom s týmito informáciami manipulujú ako s citlivými neutajovanými skutočnosťami a uchovávajú ich tak.
2.Každá inštitúcia a každý orgán Únie identifikuje citlivé neutajované skutočnosti viditeľným bezpečnostným označením a vymedzí zodpovedajúce pokyny na manipuláciu s nimi v súlade s prílohou I.
3.Inštitúcie a orgány Únie chránia citlivé neutajované skutočnosti uplatňovaním primeraných opatrení, pokiaľ ide o manipuláciu s nimi a ich uchovávanie. Takéto skutočnosti možno v rámci inštitúcií a orgánov Únie sprístupniť iba osobám s potrebou poznať na plnenie pridelených úloh.
4.Citlivé neutajované skutočnosti sa mimo inštitúcií a orgánov Únie vymieňajú iba s fyzickými a právnickými osobami, ktoré majú potrebu poznať a zároveň dodržiavajú pokyny na manipuláciu priložené k informáciám. Všetky zúčastnené strany musia byť oboznámené s príslušnými pokynmi na manipuláciu s informáciami.
Článok 15
Ochrana neutajovaných skutočností a interoperabilita
1.Inštitúcie a orgány Únie zavedú postupy na nahlasovanie a riadenie akéhokoľvek incidentu alebo podozrenia na incident, ktorý by mohol viesť k ohrozeniu bezpečnosti neutajovaných skutočností.
2.Inštitúcie a orgány Únie v prípade potreby použijú označenia uvedené v článkoch 12, 13 a 14. Výnimočne sa môžu interne použiť iné ekvivalentné označenia, a to aj vo vzťahu s ich konkrétnymi náprotivkami z iných inštitúcií a orgánov Únie alebo z členských štátov, ak s tým súhlasia všetky strany. Takáto výnimka sa oznámi podskupine pre neutajované skutočnosti, ako sa uvádza v článku 7 ods. 1 písm. b).
3.Stanovia sa zmluvné záruky s cieľom zabezpečiť ochranu bežných informácií a citlivých neutajovaných skutočností spracúvaných externe poskytovanými službami. Záruky sú navrhnuté tak, aby zaručovali aspoň rovnakú úroveň ochrany, akú poskytuje toto nariadenie, a zahŕňajú záväzky týkajúce sa dôvernosti a nezverejňovania informácií, ktoré musia podpísať všetci príslušní poskytovatelia služieb zapojení do poskytovania externých systémov.
Článok 16
Podskupina pre neutajované skutočnosti
1.Podskupina pre neutajované skutočnosti, ako sa uvádza v článku 7 ods. 1 písm. b), má tieto úlohy a povinnosti:
a)zefektívnenie postupov týkajúcich sa manipulácie s neutajovanými skutočnosťami a ich uchovávania a vypracovania príslušných usmernení;
b)koordinácia s podskupinou pre informačnú bezpečnosť uvedenou v článku 7 ods. 1 písm. a) v záležitostiach týkajúcich sa systémov manipulácie s neutajovanými skutočnosťami a ich uchovávania;
c)vypracovanie pokynov pre manipuláciu pre rôzne úrovne dôvernosti neutajovaných skutočností;
d)pomoc inštitúciám a orgánom Únie pri stanovovaní rovnocennosti medzi ich konkrétnymi kategóriami neutajovaných skutočností a kategóriami ustanovenými v článkoch 12, 13 a 14;
e)uľahčenie spoločného využívania neutajovaných skutočností inštitúciami a orgánmi Únie poskytovaním pomoci a usmernení.
Článok 17
Manipulácia s citlivými neutajovanými skutočnosťami a ich uchovávanie v komunikačných a informačných systémoch
1.Inštitúcie a orgány Únie zabezpečia, aby komunikačné a informačné systémy spĺňali tieto minimálne požiadavky pri manipulácii s citlivými neutajovanými skutočnosťami a ich uchovávaní:
a)pri prístupe k citlivým neutajovaným skutočnostiam sa vykonáva silná autentifikácia a citlivé neutajované skutočnosti sa pri prenose a uchovávaní šifrujú;
b)za šifrovacie kľúče používané na uchovávanie zodpovedajú inštitúcie alebo orgány Únie zodpovedné za prevádzku CIS;
c)citlivé neutajované skutočnosti sa uchovávajú a spracúvajú v Únii;
d)zmluvné ustanovenia týkajúce sa bezpečnosti personálu, majetku a informácií sa zahrnú do všetkých zmlúv o outsourcingu;
e)interoperabilné metaúdaje sa použijú na zaznamenanie úrovne dôvernosti elektronických dokumentov a na uľahčenie automatizácie bezpečnostných opatrení;
f)inštitúcie a orgány Únie zavedú opatrenia na predchádzanie únikom údajov a ich odhaľovanie s cieľom chrániť citlivé neutajované skutočnosti;
g)používa sa bezpečnostné vybavenie s európskym certifikátom kybernetickej bezpečnosti, ak je k dispozícii;
h)vykonávanie bezpečnostných opatrení založených na potrebe poznať a nulovej dôvere s cieľom minimalizovať prístup poskytovateľov služieb a dodávateľov k citlivým neutajovaným skutočnostiam.
2.Akákoľvek odchýlka od minimálnych požiadaviek uvedených v odseku 1 podlieha schváleniu príslušnou úrovňou riadenia danej inštitúcie alebo daného orgánu Únie na základe posúdenia rizika pokrývajúceho právne a technické riziká pre bezpečnosť citlivých neutajovaných skutočností.
3.Orgán pre informačnú bezpečnosť príslušnej inštitúcie alebo príslušného orgánu Únie môže kedykoľvek počas životného cyklu komunikačného a informačného systému kontrolovať súlad so zásadami uvedenými v odseku 1.
Kapitola 5
Utajované skutočnosti EÚ
Oddiel 1
Všeobecné ustanovenia
Článok 18
Stupne utajenia a označenia
1.Utajované skutočnosti EÚ sa utajujú na jednom z týchto stupňov a označujú sa takto:
a)TRÈS SECRET UE/EU TOP SECRET: informácia alebo vec, neoprávnená manipulácia s ktorou by mohla mimoriadne vážne poškodiť základné záujmy Únie alebo jedného alebo viacerých jej členských štátov;
b)SECRET UE/EU SECRET: informácia alebo vec, ktorej neoprávnené sprístupnenie by mohlo vážne poškodiť základné záujmy Únie alebo jedného alebo viacerých jej členských štátov;
c)CONFIDENTIEL UE/EU CONFIDENTIAL: informácia alebo vec, ktorej neoprávnené sprístupnenie by mohlo poškodiť základné záujmy Únie alebo jedného alebo viacerých jej členských štátov;
d)RESTREINT UE/EU RESTRICTED: informácia alebo vec, ktorej neoprávnené sprístupnenie by mohlo byť nevýhodné pre záujmy Únie alebo jedného alebo viacerých jej členských štátov.
2.Koordinačná skupina prijme usmerňovacie dokumenty o vytváraní a utajovaní utajovaných skutočností EÚ.
Článok 19
Vhodnosť manipulácie s utajovanými skutočnosťami EÚ a ich uchovávania
1.Každá inštitúcia a každý orgán Únie môže manipulovať s utajovanými skutočnosťami EÚ a uchovávať ich, ak sú splnené tieto podmienky:
a)v súlade s týmto nariadením stanoví predpisy a postupy zabezpečujúce ochranu skutočností pre daný stupeň utajenia a
b)vykonala sa hodnotiaca návšteva v súlade s článkom 53 a následne sa potvrdilo, že môže chrániť utajované skutočnosti EÚ v súlade s týmto nariadením a prípadne inými príslušnými predpismi a postupmi.
2.Podmienky stanovené v odseku 1 sa u členov podskupiny pre spoločné využívanie a výmenu utajovaných skutočností EÚ uvedenej v článku 7 ods. 1 písm. e) považujú za štandardne splnené.
Článok 20
Ochrana utajovaných skutočností EÚ
1.Držiteľ každej utajovanej skutočnosti EÚ je zodpovedný za jej ochranu.
2.Ak členský štát poskytne utajované skutočnosti s národným označením stupňa utajenia do štruktúr alebo sietí inštitúcie alebo orgánu Únie, táto inštitúcia alebo tento orgán ochráni tieto skutočnosti v súlade so zodpovedajúcim označením stupňa utajenia stanoveným v dohode medzi vládami členských štátov Európskej únie, ktoré sa zišli na zasadnutí Rady, o ochrane utajovaných skutočností, ktoré sa vymieňajú v záujme Európskej únie. Zodpovedajúca ekvivalenčná tabuľka je uvedená v prílohe VI k tomuto nariadeniu.
3.Súbor utajovaných skutočností EÚ si môže vyžadovať ochranu na úrovni, ktorá zodpovedá vyššiemu stupňu utajenia, ako je stupeň utajenia jeho jednotlivých častí.
Článok 21
Proces riadenia bezpečnostných rizík utajovaných skutočností EÚ
1.Bezpečnostný orgán každej inštitúcie a každého orgánu Únie schvaľuje bezpečnostné opatrenia na ochranu utajovaných skutočností EÚ počas ich životného cyklu v súlade s výsledkom posúdenia rizík vykonaným príslušnou inštitúciou alebo príslušným orgánom Únie.
2.Bezpečnostné opatrenia prijaté každou inštitúciou a každým orgánom Únie zodpovedajú stupňu utajenia skutočností, s ktorými sa manipuluje a ktoré sa uchovávajú, ich forme a objemu, umiestneniu a ochranným prvkom zariadení, v ktorých sa s utajovanými skutočnosťami EÚ manipuluje a v ktorých sa uchovávajú, a lokálne posúdenej hrozbe škodlivých alebo trestných činností.
3.Všetky inštitúcie a orgány Únie stanovia:
a)pohotovostné plány na zaistenie bezpečnosti utajovaných skutočností EÚ počas núdzových situácií;
b)plány na zabezpečenie kontinuity činností obsahujúce preventívne a nápravné opatrenia zamerané na minimalizáciu dôsledkov významného zlyhania alebo bezpečnostných incidentov pri manipulácii s utajovanými skutočnosťami EÚ a ich uchovávaní.
Článok 22
Narušenie bezpečnosti a vyzradenie utajovaných skutočností EÚ
1.Konanie alebo opomenutie zo strany inštitúcie alebo orgánu Únie alebo osoby, ktoré je v rozpore s týmto nariadením, sa považuje za narušenie bezpečnosti.
2.Utajované skutočnosti EÚ sa považujú za vyzradené, ak boli v dôsledku porušenia úplne alebo čiastočne sprístupnené jednej alebo viacerým osobám, ktoré nemajú oprávnenie na prístup k týmto skutočnostiam.
3.Akékoľvek vyzradenie alebo podozrenie z vyzradenia utajovaných skutočností EÚ sa bezodkladne oznámi bezpečnostnému orgánu príslušnej inštitúcie alebo príslušného orgánu Únie, ktorý vykoná bezpečnostné vyšetrovanie a prijme aspoň tieto opatrenia:
a)informuje pôvodcu;
b)zabezpečí, že na účely zistenia skutočností prípad vyšetria členovia personálu, ktorých sa narušenie bezpečnosti netýka bezprostredne;
c)vyhodnotí možné poškodenie záujmov Únie alebo členských štátov;
d)prijme vhodné opatrenia na predchádzanie opätovnému výskytu;
e)informuje príslušné orgány o skutočnom vyzradení alebo podozrení z vyzradenia a prijatých opatreniach.
Oddiel 2
Personálna bezpečnosť
Článok 23
Základné zásady
1.Bezpečnostný orgán inštitúcie alebo orgánu Únie môže osobám poskytnúť prístup k utajovaným skutočnostiam EÚ, ak sú splnené všetky tieto podmienky:
a)tieto osoby majú potrebu poznať utajované skutočnosti;
b)osoby boli poučené o bezpečnostných predpisoch a postupoch na ochranu utajovaných skutočností EÚ a príslušných bezpečnostných normách a usmerneniach a písomne potvrdili svoje povinnosti v súvislosti s ochranou takýchto utajovaných skutočností;
c)v prípade utajovaných skutočností so stupňom utajenia CONFIDENTIEL UE/EU CONFIDENTIAL alebo vyšším boli tieto osoby bezpečnostne preverené a oprávnené na príslušný stupeň.
2.Inštitúcie a orgány Únie zohľadnia lojalitu, dôveryhodnosť a spoľahlivosť osoby na základe bezpečnostného vyšetrovania, ktoré vykonali príslušné orgány členského štátu, ktorého je žiadateľ občanom alebo štátnym príslušníkom.
3.Inštitúcie a orgány Únie môžu akceptovať bezpečnostné previerky tretích krajín a medzinárodných organizácií, s ktorými má Únia uzatvorenú dohodu o bezpečnosti utajovaných skutočností.
4.Inštitúcie a orgány Únie môžu riadiť procesy previerky autonómne alebo môžu požiadať Komisiu o dohodu o úrovni poskytovaných služieb na účely bezpečnostnej previerky.
Ak sa uzatvorí dohoda o úrovni poskytovaných služieb, bezpečnostný orgán Komisie je v súvislosti s otázkami bezpečnostnej previerky kontaktným miestom medzi bezpečnostnými úradmi príslušnej inštitúcie a príslušného orgánu Únie a príslušnými vnútroštátnymi orgánmi členských štátov.
5.Bezpečnostný orgán každej inštitúcie a každého orgánu Únie vedie záznamy o bezpečnostných previerkach, poučeniach, písomných potvrdeniach a povoleniach na prístup k utajovaným skutočnostiam EÚ.
6.Inštitúcie a orgány Únie, ktoré s Komisiou uzatvoria dohodu o úrovni poskytovaných služieb, sprístupnia bezpečnostnému orgánu Komisie príslušné záznamy týkajúce sa minimálne úrovne utajovaných skutočností EÚ, ku ktorým môže mať osoba prístup, dátumu vydania povolenia na prístup k utajovaným skutočnostiam EÚ a obdobia jeho platnosti. V odôvodnených prípadoch sa tieto záznamy sprístupnia ostatným inštitúciám a orgánom Únie s dohodou o úrovni poskytovaných služieb.
Článok 24
Povolenie na prístup k utajovaným skutočnostiam EÚ
1.Každá inštitúcia a každý orgán Únie určí v rámci svojej organizácie pozície, ktoré si vyžadujú prístup k utajovaným skutočnostiam so stupňom utajenia CONFIDENTIEL UE/EU CONFIDENTIAL alebo vyšším, aby držiteľ mohol vykonávať svoje povinnosti.
2.Ak je potrebné, aby osoba získala oprávnenie na prístup k skutočnostiam so stupňom utajenia CONFIDENTIEL UE/EU CONFIDENTIAL alebo vyšším, príslušná inštitúcia alebo príslušný orgán o tom informuje príslušný bezpečnostný orgán, ktorý splní formality požadované v bode 1 prílohy II.
3.Bezpečnostný orgán každej inštitúcie a každého orgánu Únie je zodpovedný za udeľovanie, pozastavenie, zrušenie a obnovenie povolení na prístup k utajovaným skutočnostiam EÚ pre svojich zamestnancov.
4.Za výnimočných okolností, ktoré sú riadne odôvodnené v záujme služby a vykonania úplného bezpečnostného vyšetrovania, môže bezpečnostný orgán inštitúcie alebo orgánu Únie udeliť osobám dočasné povolenie na prístup k utajovaným skutočnostiam EÚ pre konkrétnu pozíciu bez toho, aby boli dotknuté ustanovenia o obnovení povolenia na prístup k utajovaným skutočnostiam EÚ a po overení príslušným národným bezpečnostným orgánom.
5.Inštitúcie a orgány Únie dodržujú postupy pre správu povolení na prístup k utajovaným skutočnostiam EÚ stanovené v prílohe II.
Článok 25
Uznávanie povolení na prístup k utajovaným skutočnostiam EÚ
1.Povolenie na prístup k utajovaným skutočnostiam EÚ do určenej úrovne platí vo všetkých inštitúciách alebo orgánoch Únie, ku ktorým je osoba pridelená.
2.Inštitúcie a orgány Únie akceptujú povolenia na prístup k utajovaným skutočnostiam EÚ udelené inou inštitúciou alebo iným orgánom Únie.
3.Ak držiteľ povolenia na prístup k utajovaným skutočnostiam EÚ začne pracovať v inej inštitúcii alebo inom orgáne Únie, táto inštitúcia alebo tento orgán Únie oznámi zmenu zamestnávateľa príslušnému národnému bezpečnostnému orgánu prostredníctvom príslušného bezpečnostného orgánu.
Článok 26
Poučenia o utajovaných skutočnostiach EÚ
1.Bezpečnostný orgán inštitúcie alebo orgánu Únie poučí všetky osoby, ktoré potrebujú získať prístup k utajovaným skutočnostiam EÚ, o akomkoľvek ohrození bezpečnosti a o ich povinnosti nahlásiť akúkoľvek podozrivú činnosť. Poučenie sa uskutoční pred udelením prístupu k utajovaným skutočnostiam EÚ a následne aspoň každých 5 rokov.
2.Každá osoba po uskutočnení poučenia uvedeného v odseku 1 písomne potvrdí, že porozumela svojim povinnostiam týkajúcim sa ochrany utajovaných skutočností EÚ a následkom v prípade ich vyzradenia.
3.Poučenie uvedené v odseku 1 obsahuje tieto informácie:
a)každá osoba, ktorá je zodpovedná za porušenie bezpečnostných predpisov stanovených v tomto nariadení, môže byť disciplinárne stíhaná podľa platných pravidiel a iných právnych predpisov;
b)každá osoba, ktorá je zodpovedná za vyzradenie alebo stratu utajovaných skutočností EÚ, môže podliehať disciplinárnemu alebo súdnemu konaniu podľa platných zákonov, pravidiel a iných právnych predpisov.
4.Ak osoby, ktorým bolo udelené povolenie na prístup k utajovaným skutočnostiam EÚ, už takýto prístup nepožadujú, inštitúcie a orgány Únie zabezpečia, aby si tieto osoby boli vedomé svojich povinností v súvislosti s trvalou ochranou utajovaných skutočností EÚ, a aby ich v prípade potreby písomne potvrdili.
5.Úlohu vytvárať a riadiť poučenia o utajovaných skutočnostiach EÚ si môžu rozdeliť inštitúcie a orgány Únie za predpokladu, že sa zohľadnia ich špecifické požiadavky.
Oddiel 3
Fyzická bezpečnosť
Článok 27
Základné zásady
1.Každá inštitúcia a každý orgán Únie určí opatrenia fyzickej bezpečnosti primerané pre svoje pracoviská v súlade s prílohou III a zásadou hĺbkovej ochrany na základe posúdenia rizika vykonaného ich bezpečnostným orgánom. Opatrenia zabezpečia tieto ciele:
a)zabrániť prístupu k utajovaným skutočnostiam EÚ alebo násilnému vstupu narušiteľa;
b)odradiť od neoprávnených činností, zamedziť a odhaliť ich a čo najskôr reagovať na bezpečnostné incidenty;
c)umožniť rozdelenie pracovníkov na účely prístupu k utajovaným skutočnostiam EÚ na základe potreby poznať a v prípade potreby na základe bezpečnostnej previerky.
2.Inštitúcie a orgány Únie zavedú opatrenia fyzickej bezpečnosti pre všetky pracoviská, v ktorých sa diskutuje o utajovaných skutočnostiach EÚ, v ktorých sa uchovávajú alebo v ktorých sa s nimi manipuluje, vrátane oblastí, v ktorých sú umiestnené komunikačné a informačné systémy, ako sa uvádza v oddiele 5 tejto kapitoly.
3.Na fyzickú ochranu utajovaných skutočností so stupňom utajenia CONFIDENTIEL UE/EU CONFIDENTIAL alebo vyšším sa používa iba bezpečnostné vybavenie schválené bezpečnostným orgánom inštitúcie alebo orgánu Únie.
4.Inštitúcie a orgány Únie môžu po uzavretí dohody zdieľať zabezpečené priestory uvedené v prílohe III na manipuláciu s utajovanými skutočnosťami EÚ a ich uchovávanie.
Článok 28
Podskupina pre fyzickú bezpečnosť
1.Podskupina pre fyzickú bezpečnosť, ako sa uvádza v článku 7 ods. 1 písm. c), má tieto úlohy a povinnosti:
a)pripraviť usmerňovacie dokumenty týkajúce sa záležitostí fyzickej bezpečnosti;
b)vymedziť všeobecné bezpečnostné kritériá na obstaranie zariadení, ako sú bezpečnostné úschovné objekty, skartovacie stroje, zámky dverí, elektronické systémy na kontrolu vstupu, systémy detekcie prienikov a poplachové systémy, na fyzickú ochranu utajovaných skutočností EÚ;
c)pomáhať inštitúciám a orgánom Únie pri určovaní primeraných bezpečnostných opatrení pre ich pracoviská;
d)navrhnúť kompenzačné opatrenia na ochranu utajovaných skutočností EÚ, keď sa s utajovanými skutočnosťami EÚ manipuluje mimo fyzicky chránených priestorov inštitúcie a orgánu Únie.
Článok 29
Fyzická ochrana utajovaných skutočností EÚ
1.Na zabezpečenie fyzickej ochrany utajovaných skutočností EÚ inštitúcie a orgány Únie zriadia tieto fyzicky chránené priestory:
a)administratívne zóny uvedené v prílohe III;
b)prípadne zabezpečené priestory vrátane triedy I, triedy II a technicky zabezpečených priestorov, ako sa uvádza v prílohe III.
2.Bezpečnostný orgán príslušnej inštitúcie a príslušného orgánu Únie vykoná vnútornú kontrolu s cieľom overiť, či sú splnené podmienky na to, aby bol priestor zriadený ako administratívna zóna alebo zabezpečený priestor podľa prílohy III. Ak sa v správe o kontrole uvádza, že podmienky sú splnené, bezpečnostný orgán môže pre zabezpečený priestor vydať certifikáciu na ochranu utajovaných skutočností EÚ až do uvedenej úrovne na obdobie najviac 5 rokov.
Bezpečnostný orgán príslušnej inštitúcie alebo príslušného orgánu Únie je zodpovedný za vykonanie recertifikačného procesu svojich zabezpečených priestorov pred skončením platnosti certifikácie alebo ak sa v certifikovanom priestore vykonali zmeny.
3.Každá inštitúcia a každý orgán Únie prijme postupy správy kľúčov a nastavení kombinácií pre kancelárie, miestnosti, komorové trezory a bezpečnostné úschovné objekty pre úroveň CONFIDENTIEL UE/EU-CONFIDENTIAL a pre vyššie úrovne.
4.Bezpečnostný orgán môže povoliť prehliadky pri vstupe a odchode s cieľom odradiť od nepovoleného prinesenia vecí alebo nepovoleného odnesenia utajovaných skutočností EÚ z pracovísk a odhaliť ich.
5.Inštitúcie a orgány Únie stanovia opatrenia na fyzickú ochranu utajovaných skutočností EÚ v súlade s prílohou III.
Oddiel 4
Správa utajovaných skutočností EÚ
Článok 30
Základné zásady
1.Inštitúcie a orgány Únie zaznamenávajú, archivujú, uchovávajú a nakoniec likvidujú svoje dokumenty týkajúce sa utajovaných skutočností EÚ, odoberajú z nich vzorky alebo ich prenášajú do príslušných archívov v súlade s politikou a pravidlami uchovávania špecifickými pre súbory každej inštitúcie a orgánu Únie.
2.Všetky inštitúcie a orgány Únie, ktoré sú pôvodcom utajovaných skutočností EÚ, určia stupeň utajenia týchto skutočností pri ich vytvorení a v súlade s článkom 18 ods. 1.
3.Inštitúcie a orgány Únie jasne informujú príjemcov o stupni utajenia, a to buď prostredníctvom označenia utajenia, alebo prostredníctvom oznámenia, ak sa informácie poskytujú ústne.
4.Bezpečnostné opatrenia uplatniteľné na pôvodný dokument sa uplatňujú aj na návrhy, kópie a preklady.
5.Inštitúcie a orgány Únie stanovia opatrenia na správu utajovaných skutočností EÚ v súlade s prílohou IV.
Článok 31
Vytváranie utajovaných skutočností EÚ
2. Inštitúcie a orgány Únie, pod vedením ktorých sa utajované skutočnosti EÚ vytvárajú, zabezpečia splnenie týchto požiadaviek:
a)každá strana sa zreteľne označí stupňom utajenia;
b)každá strana sa očísluje;
c)na dokumente sa uvedie referenčné číslo, prípadne registračné číslo a predmet, ktoré samy osebe nie sú utajovanou skutočnosťou EÚ, pokiaľ sa tak neoznačia;
d)na dokumente sa uvedie dátum vytvorenia;
e)uvedú sa všetky prílohy a doplnky, podľa možnosti na prvej strane;
f)na každej strane dokumentov so stupňom utajenia SECRET UE/EU SECRET alebo vyšším, ktoré sa distribuujú vo viacerých vyhotoveniach, sa uvedie číslo vyhotovenia. Elektronické vyhotovenia, ktoré sa distribuujú mimo systému držby, musia mať jedinečný identifikátor založený na elektronickom podpise.
Článok 32
Pôvodcovská kontrola
1.Inštitúcia alebo orgán Únie, v ktorej právomoci sa dokument s utajovanými skutočnosťami EÚ vytvára, má pôvodcovskú kontrolu nad týmto dokumentom. Pôvodca určí stupeň utajenia dokumentu a je zodpovedný za jeho počiatočnú distribúciu. Bez toho, aby bolo dotknuté nariadenie 1049/2001, je potrebné získať predchádzajúci písomný súhlas pôvodcu predtým, ako sa skutočnosti:
a)zruší utajenie alebo sa zníži jeho stupeň utajenia;
b)použijú na iné účely, než určil pôvodca;
c)postúpia akémukoľvek subjektu mimo inštitúcie alebo orgánu Únie, ktorý je držiteľom skutočnosti, vrátane tretej krajiny alebo medzinárodnej organizácie, inej inštitúcie alebo iného orgánu Únie, členských štátov, dodávateľa alebo potenciálneho dodávateľa, príjemcu alebo potenciálneho príjemcu;
d)skopírujú a preložia v prípade stupňa utajenia TRES SECRET-UE/EU-TOP SECRET.
2.Ak pôvodcu dokumentu s utajovanými skutočnosťami EÚ nemožno identifikovať, pôvodcovskú kontrolu uplatňuje inštitúcia alebo orgán Únie, ktorý je držiteľom danej utajovanej skutočnosti.
3.Pôvodcovia akéhokoľvek dokumentu s utajovanými skutočnosťami EÚ vedú záznamy o všetkých utajovaných zdrojoch použitých na výrobu utajovaných dokumentov vrátane podrobností o zdrojoch pôvodne z členských štátov, medzinárodných organizácií alebo tretích krajín. Agregované utajované skutočnosti sa podľa potreby označia tak, aby sa zachovala identifikácia pôvodcov použitých utajovaných zdrojových materiálov.
Článok 33
Označenia stupňov utajenia
1.Dokumenty s utajovanými skutočnosťami EÚ môžu podľa potreby okrem jedného z označení stupňa utajenia obsahovať aj ďalšie označenia, ako napríklad označenie distribúcie alebo prístupnosti či označenie pôvodcu.
2.Rôzne časti dokumentu s utajovanými skutočnosťami EÚ si môžu vyžadovať rôzne stupne utajenia a musia byť podľa toho označené. Celkový stupeň utajenia dokumentu alebo spisu zodpovedá minimálne najvyššiemu stupňu utajenia jeho jednotlivej časti.
3.Dokumenty, ktoré obsahujú časti podliehajúce rozdielnym stupňom utajenia, sa usporadúvajú tak, aby sa časti s iným stupňom utajenia dali ľahko identifikovať a v prípade potreby oddeliť.
Článok 34
Systém registrov utajovaných skutočností EÚ
1.Všetky inštitúcie a orgány Únie, ktoré manipulujú so skutočnosťami alebo uchovávajú skutočnosti so stupňom utajenia CONFIDENTIEL UE/EU CONFIDENTIEL alebo vyšším, zriadia jeden alebo viacero registrov utajovaných skutočností EÚ s cieľom zabezpečiť ich evidenciu na bezpečnostné účely, keď prichádzajú do inštitúcie alebo orgánu Únie alebo ich opúšťajú.
2.Všetky registre utajovaných skutočností EÚ sa zriaďujú v zabezpečených priestoroch podľa prílohy III.
3.Inštitúcie a orgány Únie poveria kontrolného úradníka registra správou každého registra utajovaných skutočností EÚ. Kontrolný úradník registra musí mať príslušnú bezpečnostnú previerku a musí byť oprávnený v súlade s článkom 24. Inštitúcie a orgány Únie zabezpečia pre svojho kontrolného úradníka registra riadnu odbornú prípravu.
Článok 35
Zníženie stupňa utajenia a zrušenie utajenia
1.Skutočnosti sú utajené, iba pokým sa vyžaduje, aby boli chránené. V prípade utajovaných skutočností EÚ, ktoré už nepotrebujú pôvodný stupeň utajenia, sa ich stupeň utajenia zníži na nižší stupeň. V prípade utajovaných skutočností EÚ, ktoré už nie je potrebné považovať za utajované, sa ich utajenie zruší.
2.Ak je to možné, predovšetkým v prípade utajovaných skutočností EÚ so stupňom utajenia RESTREINT UE/EU RESTRICTED, pôvodca v čase vytvorenia utajovanej skutočnosti EÚ uvedie, či je možné znížiť jej stupeň utajenia alebo utajenie zrušiť k určitému dátumu alebo po istej udalosti.
3.Inštitúcie alebo orgány Únie, ktoré sú pôvodcom, sú zodpovedné za rozhodnutie, či možno stupeň utajenia dokumentu s utajovanými skutočnosťami EÚ znížiť alebo zrušiť utajenie. Pravidelne preskúmajú danú skutočnosť a posúdia riziká, a to aspoň raz za päť rokov, aby rozhodli, či je pôvodný stupeň utajenia stále primeraný.
4.Inštitúcie a orgány Únie, ktoré sú držiteľom utajovaných skutočností EÚ, ktorých nie sú pôvodcom, nesmú znížiť stupeň utajenia tohto dokumentu ani zrušiť jeho utajenie, ani zmeniť či odstrániť žiadne z označení uvedených v článku 18 ods. 1 bez predchádzajúceho písomného súhlasu pôvodcu.
5.Inštitúcie a orgány Únie môžu čiastočne znížiť stupeň utajenia alebo zrušiť utajenie utajovaných skutočností EÚ, ktoré vytvoria. V takýchto prípadoch sa vyhotoví výpis so zníženým stupňom utajenia alebo zrušením utajenia.
6.Inštitúcie a orgány Únie informujú prijímajúcu organizáciu utajovaných skutočností EÚ o znížení stupňa utajenia alebo zrušení utajenia.
Článok 36
Označenia na dokumentoch so zníženým stupňom utajenia a zrušením utajenia
1.Ak sa inštitúcie a orgány Únie rozhodnú zrušiť utajenie dokumentu s utajovanými skutočnosťami EÚ, zváži sa, či sa dokument distribučne označí ako citlivá neutajovaná skutočnosť.
2.Pôvodné označenie stupňa utajenia navrchu a naspodku každej strany sa viditeľne prečiarkne s použitím funkcie „prečiarknuté“ pri elektronických formátoch, resp. ručne pri vytlačených kópiách. Pôvodné označenie stupňa utajenia sa neodstráni.
3.Prvá strana alebo titulná strana sa opatrí pečiatkou „downgraded“ (znížený stupeň utajenia) alebo „declassified“ (zrušenie utajenia) a doplnia sa podrobnosti o orgáne, ktorý je za zníženie stupňa utajenia alebo zrušenie utajenia zodpovedný, ako aj príslušný dátum. Zníženie stupňa utajenia alebo zrušenie utajenia elektronických dokumentov s utajovanými skutočnosťami EÚ sa preukazuje elektronickým podpisom na základe poverenia ich pôvodcu.
Článok 37
Zničenie a vymazanie utajovaných skutočností EÚ
1.Inštitúcie a orgány Únie preskúmajú utajované skutočnosti EÚ v tlačenej forme aj v CIS aspoň každých 5 rokov, aby určili, či sa majú zničiť alebo vymazať. Ak dôjde k zničeniu alebo vymazaniu utajovaných skutočností EÚ, dajú sa pokyny každému, kto dané utajované skutočnosti EÚ predtým prijal.
2.Inštitúcie a orgány Únie môžu zničiť duplikáty utajovaných skutočností EÚ, ktoré už nie sú potrebné, pričom zohľadnia príslušné pravidlá správy dokumentov pre originály.
3.Inštitúcie a orgány Únie zničia iba tlačené kópie skutočností so stupňom utajenia CONFIDENTIEL UE/EU CONFIDENTIAL alebo vyšším podľa ich kontrolného úradníka registra. Kontrolný úradník registra zodpovedajúcim spôsobom aktualizuje logové súbory a ostatné evidenčné záznamy a uchováva základné metaúdaje zničeného dokumentu.
Zničenie dokumentov so stupňom utajenia SECRET UE/EU SECRET a vyšším vykonáva kontrolný úradník registra iba za prítomnosti svedka, ktorý má bezpečnostnú previerku minimálne pre stupeň utajenia ničeného dokumentu.
4.Kontrolný úradník registra a prípadne svedok podpíšu protokol o zničení, ktorý sa archivuje v registri. Protokol sa uchováva najmenej 5 rokov v prípade skutočností so stupňom utajenia CONFIDENTIEL UE/EU CONFIDENTIAL a SECRET-UE/EU-SECRET a najmenej 10 rokov v prípade skutočností so stupňom utajenia TRES SECRET-UE/EU-TOP SECRET.
Článok 38
Evakuácia a zničenie utajovaných skutočností EÚ v núdzových situáciách
1.Každá inštitúcia a každý orgán Únie vypracuje núdzové plány evakuácie a zničenia na základe miestnych podmienok na ochranu utajovaných skutočností EÚ, pri ktorých hrozí významné riziko, že sa dostanú do nepovolaných rúk.
Prevádzkové podrobnosti núdzových plánov evakuácie a zničenia sú samy osebe utajované na stupni utajenia RESTREINT UE/EU RESTRICTED.
2.V prípade núdzovej situácie, keď existuje bezprostredné riziko neoprávneného zverejnenia utajovaných skutočností EÚ, inštitúcie a orgány Únie utajované skutočnosti EÚ evakuujú.
Ak evakuácia nie je možná, utajované skutočnosti EÚ sa zničia tak, aby sa nedali vcelku ani čiastočne obnoviť.
3.Pôvodca a register pôvodu sa informujú o núdzovej evakuácií alebo núdzovom zničení evidovaných utajovaných skutočností EÚ.
4.Pri aktivácii núdzových plánov sa prioritne evakuujú alebo ničia utajované skutočnosti EÚ s vyšším stupňom zabezpečenia vrátane kódovacieho zariadenia.
Článok 39
Archivácia
1.Inštitúcie a orgány Únie rozhodnú, či a kedy budú archivovať utajované skutočnosti EÚ, a o príslušných praktických opatreniach v súlade so svojou politikou správy dokumentov.
2.Dokumenty s utajovanými skutočnosťami EÚ sa neprenášajú do historických archívov Európskej únie.
Oddiel 5
Ochrana utajovaných skutočností EÚ v komunikačných a informačných systémoch (CIS)
Článok 40
Podskupina pre certifikáciu komunikačných a informačných systémov, v ktorých sa manipuluje s utajovanými skutočnosťami EÚ a v ktorých sa takéto skutočnosti uchovávajú
Podskupina pre certifikáciu CIS, v ktorých sa manipuluje s utajovanými skutočnosťami EÚ a v ktorých sa takéto skutočnosti uchovávajú, ako sa uvádza v článku 7 ods. 1 písm. d), má tieto úlohy a povinnosti:
a)pomáhať inštitúciám a orgánom Únie pri ich certifikačných procesoch;
b)odporučiť normu pre certifikáciu, ktorú by mali dodržiavať všetky inštitúcie a orgány Únie;
c)šíriť a vymieňať si najlepšie postupy a usmernenia týkajúce sa certifikácie CIS.
Článok 41
Komunikačné a informačné systémy
Inštitúcie a orgány Únie musia v súvislosti s CIS, v ktorých sa manipuluje s utajovanými skutočnosťami EÚ a v ktorých sa takéto skutočnosti uchovávajú, spĺňať tieto požiadavky:
a)vlastník systému alebo operačný orgán pre informačnú bezpečnosť konzultuje s orgánom bezpečnostnej certifikácie pred vývojom, obstaraním alebo spustením CIS na manipuláciu s utajovanými skutočnosťami EÚ a ich uchovávanie s cieľom určiť požiadavky na certifikáciu;
b)kľúčové bezpečnostné zásady pre návrh CIS, v ktorom sa manipuluje s utajovanými skutočnosťami EÚ a v ktorom sa takéto skutočnosti uchovávajú, sa uplatňujú na začiatku projektu ako súčasť procesu riadenia rizík v oblasti bezpečnosti informácií, pričom sa zohľadní potreba poznať, minimálna funkčnosť, hĺbková ochrana, princíp minimálneho privilégia, oddelenie povinností a zásada štyroch očí;
c)zložky uchovávania, centrálneho spracovania a správy siete CIS, v ktorom sa manipuluje s utajovanými skutočnosťami EÚ a v ktorom sa takéto skutočnosti uchovávajú, sa inštalujú v zabezpečenom priestore, ako sa uvádza v prílohe III;
d)vykonávať „bezpečnostné opatrenia TEMPEST“, ktoré sú primerané rizikám zneužitia a stupňu utajenia daných utajovaných skutočností;
e)všetci zamestnanci zapojení do prevádzky CIS, v ktorom sa manipuluje s utajovanými skutočnosťami EÚ a v ktorom sa takéto skutočnosti uchovávajú, oznámia bezpečnostnému orgánu a príslušnému vlastníkovi systému alebo operačnému orgánu pre informačnú bezpečnosť všetky možné bezpečnostné nedostatky, incidenty, narušenia bezpečnosti alebo narušenia systému, ktoré môžu mať vplyv na ochranu CIS alebo utajovaných skutočností EÚ, ktoré sa v ňom nachádzajú;
f)bezpečnostný orgán v prípade potreby informuje bezpečnostné orgány všetkých ostatných dotknutých inštitúcií a orgánov Únie o možných bezpečnostných nedostatkoch alebo incidentoch, ktoré by mohli mať vplyv na ich CIS, v ktorom sa manipuluje s utajovanými skutočnosťami EÚ a v ktorom sa takéto skutočnosti uchovávajú.
Článok 42
Kryptografické produkty
1.Na prenos a uchovávanie utajovaných skutočností EÚ elektronickými prostriedkami sa používajú schválené kryptografické produkty. Zoznam schválených kryptografických produktov spravuje Rada na základe informácií od národných bezpečnostných orgánov.
2.Ak zoznam uvedený v odseku 1 neobsahuje žiadny vhodný produkt na zamýšľaný účel, kryptografický schvaľovací orgán dotknutej inštitúcie alebo dotknutého orgánu Únie požiada Radu o predbežné schválenie. Ak je to možné, vyberie sa kryptografický produkt, ktorý je schválený národným bezpečnostným orgánom členského štátu.
Rada podnikne potrebné kroky, aby zabezpečila pridanie vhodného produktu do zoznamu.
3.Schválenia kryptografických produktov sú platné najviac 5 rokov a následne sa každý rok preskúmajú.
4.Rada zo zoznamu schválených kryptografických produktov odstráni akýkoľvek kryptografický produkt, ktorému bolo odobrané národné schválenie alebo ktorého platnosť schválenia vypršala.
5.Koordinačná skupina bude každoročne informovať Radu o všetkých kryptografických produktoch, ktoré odporúča na hodnotenie zo strany kryptografického schvaľovacieho orgánu členského štátu na základe prieskumu vykonaného v inštitúciách a orgánoch Únie.
Článok 43
Certifikácia CIS, v ktorých sa manipuluje s utajovanými skutočnosťami EÚ a v ktorých sa takéto skutočnosti uchovávajú
1.Certifikáciou CIS, v ktorých sa manipuluje s utajovanými skutočnosťami EÚ a v ktorých sa takéto skutočnosti uchovávajú, inštitúcie a orgány Únie potvrdia, že sa zaviedli všetky vhodné bezpečnostné opatrenia a že sa dosiahla dostatočná úroveň ochrany utajovaných skutočností EÚ a CIS v súlade s týmto nariadením.
2.Za prípravu certifikačných súborov a dokumentov vrátane príručiek pre rôzne typy používateľov zodpovedá vlastník CIS alebo operačný orgán pre informačnú bezpečnosť.
3.Orgán bezpečnostnej certifikácie každej inštitúcie a každého orgánu Únie je zodpovedný za zavedenie certifikačného procesu s jasnými podmienkami, ktoré si vyžadujú schválenie, pre všetky CIS pod ich vedením.
4.Pokiaľ do CIS, v ktorom sa manipuluje s utajovanými skutočnosťami EÚ a v ktorom sa takéto skutočnosti uchovávajú, patria inštitúcie a orgány Únie, ako aj národné bezpečnostné orgány, dotknuté inštitúcie a orgány Únie zriadia prostredníctvom ďalších vykonávacích predpisov prijatých podľa článku 8 ods. 2 spoločnú komisiu pre bezpečnostnú certifikáciu zodpovednú za certifikáciu systému. Táto rada sa skladá zo zástupcov orgánu bezpečnostnej certifikácie zainteresovaných strán a predsedá jej orgán bezpečnostnej certifikácie inštitúcie alebo orgánu Únie, ktorý vlastní CIS.
Článok 44
Certifikačný proces komunikačného a informačného systému, v ktorom sa manipuluje s utajovanými skutočnosťami EÚ a v ktorom sa takéto skutočnosti uchovávajú
1.Všetky CIS, v ktorých sa manipuluje s utajovanými skutočnosťami EÚ a v ktorých sa takéto skutočnosti uchovávajú, podliehajú certifikačnému procesu na základe zásad informačnej bezpečnosti, ktorých úroveň podrobnosti musí byť úmerná požadovanej úrovni ochrany.
2.Výsledkom certifikačného procesu je potvrdenie o certifikácii, v ktorom sa stanoví najvyšší stupeň utajenia utajovaných skutočností, s ktorými sa môže manipulovať a ktoré sa môžu uchovávať v CIS, ako aj príslušné podmienky. Potvrdenie o certifikácii je založené na formálnom potvrdení posúdenia rizík a bezpečnostných opatrení vykonaných pre dotknutý CIS, pričom poskytuje istotu v prípade týchto prvkov:
a)proces riadenia rizík v oblasti bezpečnosti informácií bol riadne vykonaný;
b)vlastník systému alebo vlastník rizika vedome akceptoval zvyškové riziko;
c)dosiahla sa dostatočná úroveň ochrany CIS a utajovaných skutočností EÚ, s ktorými sa v ňom manipuluje a ktoré sa v ňom uchovávajú, v súlade s týmto nariadením.
3.Orgán bezpečnostnej certifikácie inštitúcie alebo orgánu Únie formálne overí potvrdenie o certifikácii. Orgán bezpečnostnej certifikácie vydá po úspešnom overení schválenie prevádzky, v ktorom sa stanoví najvyšší stupeň utajenia utajovaných skutočností EÚ, s ktorými sa môže v CIS manipulovať, ako aj zodpovedajúce podmienky prevádzky. Schválenie sa vydáva na určité obdobie. Ak nie je zavedené jedno alebo viacero požadovaných bezpečnostných opatrení, no táto skutočnosť nemá významný vplyv na celkovú bezpečnosť, môže sa vydať dočasné schválenie prevádzky s uvedením bodov nápravy.
4.Orgán bezpečnostnej certifikácie príslušnej inštitúcie alebo príslušného orgánu Únie môže kedykoľvek počas životného cyklu CIS prijať tieto opatrenia:
a)použiť certifikačný proces;
b)vykonať audit alebo inšpekciu CIS;
c)ak podmienky na prevádzku už nie sú splnené, napríklad keď bezpečnostný incident odhalil značnú zraniteľnosť CIS, vyžadovať vytvorenie a účinné vykonávanie plánu na zlepšovanie bezpečnosti v rámci presne stanoveného časového rozvrhu, prípadne odobratie povolenia na prevádzku CIS, kým nebudú splnené podmienky na prevádzku.
5.Vlastník systému alebo operačný orgán pre informačnú bezpečnosť predloží orgánu bezpečnostnej certifikácie každoročne počas obdobia platnosti schválenia prevádzky formálnu správu vrátane súhrnu všetkých významných incidentov, zmien a rizikových faktorov.
Článok 45
Núdzové situácie
1.Inštitúcie a orgány Únie môžu uplatňovať osobitné postupy na prenos alebo uchovávanie utajovaných skutočností EÚ v prípade núdzových situácií, napríklad počas hroziacich alebo skutočných kríz, konfliktov, vojnových situácií alebo za výnimočných operačných okolností, po schválení ich kryptografickým schvaľovacím orgánom.
2.Za okolností uvedených v odseku 1 sa utajované skutočnosti EÚ môžu so súhlasom príslušného orgánu prenášať šifrované kryptografickými produktmi, ktoré boli schválené pre nižší stupeň utajenia, alebo nešifrované, pokiaľ by akékoľvek zdržanie spôsobilo škody, ktoré jednoznačne prevyšujú škodu spôsobenú sprístupnením utajovanej veci, a na základe týchto podmienok:
a)odosielateľ alebo príjemca nemajú požadované šifrovacie zariadenie;
b)utajovanú vec nie je možné včas doručiť inými prostriedkami.
3.Utajované skutočnosti prenášané v súlade s odsekom 2 nesmú mať žiadne označenia alebo odkazy, ktorými by sa odlišovali od neutajovanej skutočnosti alebo skutočnosti, ktorá sa môže chrániť dostupným kryptografickým produktom. Príjemcovia sa o stupni utajenia skutočnosti bezodkladne informujú iným spôsobom.
4.Príslušnému bezpečnostnému orgánu sa predloží následná správa o prenose utajovaných skutočností EÚ za okolností uvedených v odseku 1.
Oddiel 6
Priemyselná bezpečnosť
Článok 46
Základné zásady
1.Každá inštitúcia alebo každý orgán Únie ako verejný obstarávateľ alebo orgán poskytujúci grant zabezpečí, aby sa na minimálne normy priemyselnej bezpečnosti stanovené v tomto oddiele a podmienky ochrany utajovaných skutočností EÚ v utajovaných zmluvách a dohodách o grante uvedených v prílohe V odkazovalo v zmluvách alebo dohodách o grante alebo aby boli do nich začlenené, a aby sa dodržiavali pri zadávaní utajovaných zmlúv alebo dohôd o grante.
2.Priemyselná bezpečnosť je uplatňovanie opatrení na zabezpečenie ochrany utajovaných skutočností EÚ zo strany týchto osôb alebo subjektov:
a)v prípade priameho riadenia v rámci utajovaných zmlúv zo strany:
i)záujemcov alebo uchádzačov počas výberového alebo zadávacieho konania;
ii)dodávateľov alebo subdodávateľov počas celého životného cyklu utajovanej zmluvy;
b)v prípade priameho riadenia v rámci utajovaných dohôd o grante zo strany:
i)žiadateľov počas postupov udeľovania grantu;
ii)príjemcov alebo subdodávateľov počas celého životného cyklu utajovanej dohody o grante.
c)v prípade nepriameho riadenia v rámci rámcových dohôd o finančnom partnerstve (ďalej len „FFPA“) a súvisiacich dohôd o príspevku zo strany poverených subjektov počas celého životného cyklu týchto dohôd.
3.Inštitúcia alebo orgán Únie ako poverujúci subjekt opíše osobitné bezpečnostné požiadavky na poverený subjekt v kapitole o bezpečnosti FFPA a súvisiacich dohodách o príspevku. Tieto požiadavky sú založené na bezpečnostných zásadách a ustanoveniach obsiahnutých v tomto nariadení vo vzťahu k utajovaným zmluvám a dohodám o grante, ktoré sa uplatňujú mutatis mutandis.
4.Utajované zmluvy a utajované dohody o grante nezahŕňajú skutočnosti so stupňom utajenia TRÈS SECRET UE/EU TOP SECRET.
5.Ustanovenia tejto kapitoly týkajúce sa utajovaných zmlúv alebo dodávateľov alebo utajovaných grantov alebo príjemcov sa vzťahujú aj na utajované subdodávateľské zmluvy alebo subdodávateľov v zmysle utajovaných zmlúv alebo utajovaných grantov.
6.Inštitúcie a orgány Únie ako verejní obstarávatelia alebo orgány poskytujúce granty úzko spolupracujú s bezpečnostnými orgánmi alebo akýmikoľvek inými príslušnými orgánmi krajiny, na území ktorej sú zmluvná strana alebo príjemca grantu zaregistrovaní, ako aj s bezpečnostnými alebo inými príslušnými orgánmi zmluvnej medzinárodnej organizácie alebo medzinárodnej organizácie, ktorej bol udelený grant.
7.Inštitúcie a orgány Únie ako verejní obstarávatelia alebo udeľujúce orgány komunikujú s bezpečnostnými orgánmi alebo akýmikoľvek inými príslušnými orgánmi prostredníctvom svojich bezpečnostných orgánov.
8.Inštitúcie a orgány Únie ako verejní obstarávatelia alebo udeľujúce orgány informujú orgány uvedené v odseku 6 prostredníctvom svojho bezpečnostného orgánu vždy, keď sa podpíše utajovaná zmluva alebo dohoda o grante.
Oznámenie obsahuje príslušné údaje, ako sú mená dodávateľa alebo príjemcov, trvanie utajovanej zmluvy alebo dohody o grante a najvyšší stupeň utajenia.
Inštitúcie a orgány Únie ako verejní obstarávatelia alebo udeľujúce orgány takisto informujú orgány uvedené v odseku 6 vždy, keď sa utajovaná zmluva alebo dohoda o grante predčasne ukončí.
9.Inštitúcie a orgány Únie ako verejní obstarávatelia alebo udeľujúce orgány môžu zadávať utajované zmluvy alebo utajované časti grantov len subjektom registrovaným v tretích krajinách alebo zriadeným medzinárodnými organizáciami, ktoré s Úniou uzavreli dohodu o bezpečnosti utajovaných skutočností. Ak dotknuté utajované skutočnosti EÚ obsahujú osobné údaje, každý ich prenos do tretej krajiny alebo medzinárodnej organizácie sa uskutoční v súlade s nariadením (EÚ) 2018/1725.
Článok 47
Bezpečnostné prvky v utajovanej zmluve alebo dohode o grante
1.Utajované zmluvy alebo dohody o grante musia obsahovať tieto bezpečnostné prvky:
a)sprievodca stupňami utajenia;
b)bezpečnostnú doložku.
2.Utajované zmluvy alebo dohody o grante môžu obsahovať bezpečnostné pokyny pre program alebo projekt.
Článok 48
Sprievodca stupňami utajenia
1.Pred podpísaním utajovanej zmluvy alebo dohody o grante inštitúcia alebo orgán Únie ako verejný obstarávateľ alebo orgán poskytujúci grant stanoví stupeň utajenia akýchkoľvek skutočností, ktoré majú vytvoriť dodávatelia alebo príjemcovia alebo ich subdodávatelia. Na tento účel vypracuje sprievodcu stupňami utajenia, ktoré sa budú uplatňovať pri plnení utajovanej zmluvy alebo dohody o grante.
2.Sprievodca stupňami utajenia sa môže v priebehu programu alebo projektu, ako sa uvádza v článku 50, zmluvy alebo dohody o grante zmeniť a stupeň utajenia prvkov skutočností sa môže zmeniť alebo znížiť.
3.Pri určovaní stupňa utajenia rôznych prvkov utajovanej zmluvy alebo dohody o grante sa uplatňujú tieto zásady:
a)pri príprave sprievodcu stupňami utajenia inštitúcia alebo orgán Únie ako verejný obstarávateľ alebo orgán poskytujúci grant zohľadňuje všetky príslušné bezpečnostné hľadiská vrátane stupňa utajenia, ktorý utajovanej skutočnosti poskytnutej a schválenej na použitie v súvislosti s utajovanou zmluvou alebo dohodou o grante určil jej pôvodca;
b)celkový stupeň utajenia utajovanej zmluvy alebo dohody o grante nie je nižší ako najvyšší stupeň utajenia ktoréhokoľvek z jej prvkov;
c)príslušná inštitúcia alebo príslušný orgán Únie ako verejný obstarávateľ alebo orgán poskytujúci grant v prípade potreby prostredníctvom svojho bezpečnostného orgánu spolupracuje s bezpečnostnými orgánmi alebo akýmikoľvek inými príslušnými orgánmi dotknutej krajiny pri vykonávaní akýchkoľvek zmien v sprievodcovi stupňami utajenia.
Článok 49
Bezpečnostná doložka
1.Každá inštitúcia alebo každý orgán Únie ako verejný obstarávateľ alebo orgán poskytujúci grant opíše špecifické bezpečnostné požiadavky utajovanej zmluvy alebo dohody o grante v bezpečnostnej doložke. Bezpečnostná doložka obsahuje sprievodcu stupňami utajenia a tvorí neoddeliteľnú súčasť utajovanej zmluvy, dohody o grante alebo subdodávateľskej zmluvy.
2.Bezpečnostná doložka obsahuje ustanovenia, podľa ktorých musí dodávateľ alebo príjemca a ich subdodávatelia dodržiavať ustanovenia tohto nariadenia a akékoľvek ďalšie vykonávacie predpisy prijaté podľa článku 8 ods. 2 týkajúce sa priemyselnej bezpečnosti. V bezpečnostnej doložke sa jasne uvedie, že nedodržanie týchto ustanovení sa môže považovať sa dostatočný dôvod na vypovedanie utajovanej zmluvy alebo dohody o grante.
Článok 50
Bezpečnostné pokyny pre program alebo projekt
1.Inštitúcie a orgány Únie ako verejní obstarávatelia alebo orgány poskytujúce granty môžu v úzkej spolupráci so svojimi bezpečnostnými orgánmi vypracovať bezpečnostné pokyny pre program alebo projekt, najmä pre programy a projekty, ktoré sa vyznačujú značným rozsahom, škálou alebo zložitosťou, alebo množstvom či rôznorodosťou dodávateľov, príjemcov a iných zúčastnených partnerov a zainteresovaných strán.
2.Bezpečnostný orgán každej inštitúcie alebo každého orgánu Únie ako verejný obstarávateľ alebo orgán poskytujúci grant predloží špecifické bezpečnostné pokyny pre program alebo projekt príslušnému poradnému bezpečnostnému orgánu členského štátu, ktorý tvoria národné bezpečnostné orgány a/alebo určené bezpečnostné orgány, na účely konzultácie.
Ak inštitúcia alebo orgán Únie takýto poradný orgán nemá, bezpečnostné pokyny pre program alebo projekt sa predložia výboru pre bezpečnosť informácií, ako je uvedené v článku 6 ods. 8.
Oddiel 7
Zdieľanie utajovaných skutočností EÚ a výmena utajovaných skutočností
Článok 51
Základné zásady
1.Všetky inštitúcie a orgány Únie môžu zdieľať utajované skutočnosti EÚ s inými inštitúciami alebo orgánmi Únie za podmienok stanovených v článku 54.
2.Inštitúcie a orgány Únie môžu zdieľať utajované skutočnosti EÚ s členskými štátmi a Európskym spoločenstvom pre atómovú energiu za predpokladu, že tieto skutočnosti chránia v súlade so zodpovedajúcim označením stupňa utajenia stanoveným v dohode medzi členskými štátmi Únie zasadajúcimi v Rade o ochrane utajovaných skutočností vymieňaných v záujme Únie a zodpovedajúcou tabuľkou uvedenou v prílohe VI k tomuto nariadeniu.
3.Inštitúcie a orgány Únie si vymieňajú utajované skutočnosti iba s tretími krajinami alebo medzinárodnými organizáciami, s ktorými bola uzavretá dohoda o bezpečnosti utajovaných skutočností alebo správne dojednanie v súlade s článkami 55 a 56.
Tieto dohody a dojednania obsahujú ustanovenia, ktorými sa zabezpečuje, že tretie krajiny alebo medzinárodné organizácie, ktoré prijmú utajované skutočnosti EÚ, chránia takéto utajované skutočnosti na úrovni, ktorá zodpovedá ich stupňu utajenia, a v súlade s minimálnymi normami, ktoré nie sú menej prísne než normy stanovené v tomto nariadení.
4.Ak neexistuje dohoda o bezpečnosti utajovaných skutočností ani správne dojednanie, inštitúcia alebo orgán Únie môže za výnimočných okolností poskytnúť utajované skutočnosti EÚ inej inštitúcii alebo orgánu Únie, tretej krajine alebo medzinárodnej organizácii v súlade s článkom 58.
5.Inštitúcie a orgány Únie určia registre, ktoré slúžia ako hlavné miesta vstupu a výstupu pre utajované skutočnosti EÚ zdieľané s inými inštitúciami alebo orgánmi Únie alebo utajované skutočnosti vymieňané s tretími krajinami a medzinárodnými organizáciami.
Článok 52
Podskupina pre zdieľanie a výmenu utajovaných skutočností EÚ
1.Podskupina pre zdieľanie a výmenu utajovaných skutočností EÚ, ako sa uvádza v článku 7 ods. 1 písm. e), má tieto úlohy a povinnosti:
a)organizovanie hodnotiacich návštev inštitúcií a orgánov Únie, tretích krajín a medzinárodných organizácií a prijímanie ročného programu návštev;
b)príprava a vykonávanie hodnotiacich návštev;
c)vypracovanie správy o výsledku návštev uvedených v písmene a);
s výnimkou prípadov uvedených v článku 56 ods. 2.
2.Podskupina pre zdieľanie a výmenu utajovaných skutočností EÚ sa skladá zo zástupcov Komisie, Rady a Európskej služby pre vonkajšiu činnosť a pracuje na základe konsenzu.
Článok 53
Hodnotiace návštevy súvisiace so zdieľaním utajovaných skutočností EÚ
1.Podskupina pre zdieľanie a výmenu utajovaných skutočností EÚ vykonáva hodnotiace návštevy v plnej spolupráci s úradníkmi navštívenej inštitúcie alebo navštíveného orgánu Únie. Môže požiadať o pomoc národný bezpečnostný orgán, na území ktorého sa inštitúcia alebo orgán Únie nachádza.
2.Hodnotiace návštevy v príslušných inštitúciách a orgánoch Únie slúžia na tieto účely:
a)kontrolovať, či sa dodržiavajú požiadavky na ochranu utajovaných skutočností EÚ stanovené v tomto nariadení, a teda či sú prijaté opatrenia účinné;
b)zdôrazniť význam bezpečnosti a účinného riadenia rizík u navštívenej organizácie;
c)odporučiť protiopatrenia na zníženie konkrétnych následkov v prípade, že dôjde k strate dostupnosti, dôvernosti alebo integrity utajovaných skutočností;
d)posilniť priebežné bezpečnostné vzdelávacie a informačné programy bezpečnostných orgánov.
3.Na konci hodnotiacej návštevy podskupina pre zdieľanie a výmenu utajovaných skutočností EÚ plní tieto úlohy:
a)vypracuje správu s hlavnými závermi hodnotenia;
b)vyžiada si stanovisko výboru pre bezpečnosť informácií uvedeného v článku 6 ods. 8 k správe;
c)odošle správu na následné využitie bezpečnostným orgánom navštívenej inštitúcie alebo navštíveného orgánu Únie.
4.Ak sa v správe navrhujú nápravné opatrenia alebo odporúčania, zorganizuje sa následná návšteva s cieľom overiť, či sa takéto opatrenie prijalo alebo či sa dodržiavali odporúčania.
Článok 54
Zdieľanie utajovaných skutočností EÚ
1.Inštitúcia alebo orgán Únie môže zdieľať utajované skutočnosti EÚ s inou inštitúciou alebo iným orgánom Únie, ak sú splnené tieto podmienky:
a)je preukázaná potreba výmeny;
b)v dotknutej inštitúcii alebo dotknutom orgáne Únie sa v súlade s článkom 53 uskutočnila hodnotiaca návšteva, ktorej výsledok potvrdzuje schopnosť danej inštitúcie alebo daného orgánu Únie manipulovať s utajovanými skutočnosťami EÚ na určitej úrovni a uchovávať ich;
c)bezpečnostný orgán dotknutej inštitúcie alebo dotknutého orgánu Únie rozhodne, že môže zdieľať utajené skutočnosti do určitého stupňa utajenia s inými takto certifikovanými inštitúciami a orgánmi Únie.
2.Sekretariát koordinačnej skupiny vytvorí zoznam stupňov utajovaných skutočností EÚ, s ktorými môže manipulovať a ktoré môže uchovávať každá inštitúcia a každý orgán Únie, ktorý spĺňa podmienky v odseku 1 písm. b) a c). Tento zoznam pravidelne aktualizuje.
Článok 55
Dohody o bezpečnosti utajovaných skutočností
1.Ak je potrebná dlhodobá výmena utajovaných skutočností s treťou krajinou alebo medzinárodnou organizáciou, príslušná inštitúcia alebo príslušný orgán sa bude snažiť dohodnúť a uzavrieť dohodu o bezpečnosti utajovaných skutočností v súlade s článkom 218 Zmluvy o fungovaní Európskej únie.
2.V dohode o bezpečnosti utajovaných skutočností sa stanovujú základné zásady a minimálne normy, ktorými sa riadi výmena utajovaných skutočností medzi Úniou a treťou krajinou alebo medzinárodnou organizáciou.
3.V dohodách o bezpečnosti utajovaných skutočností sa stanovujú technické vykonávacie dojednania, ktoré sa majú dohodnúť medzi príslušnými bezpečnostnými orgánmi dotknutých inštitúcií a orgánov Únie a príslušným bezpečnostným orgánom dotknutej tretej krajiny alebo medzinárodnej organizácie.
4.Podskupina pre zdieľanie a výmenu utajovaných skutočností EÚ uskutoční pred schválením technických vykonávacích dojednaní uvedených v odseku 3 hodnotiacu návštevu v súlade s článkom 57.
Článok 56
Správne dojednania s tretími krajinami a medzinárodnými organizáciami
1.Inštitúcie a orgány Únie môžu uzavrieť správne dojednanie so svojimi protistranami v tretej krajine alebo medzinárodnej organizácii, ak im to umožňuje ich rokovací poriadok a zakladajúce akty po tom, ako informujú podskupinu pre zdieľanie a výmenu utajovaných skutočností EÚ, a ak sú splnené tieto podmienky:
a)dotknutá inštitúcia alebo dotknutý orgán Únie potrebuje z dlhodobého hľadiska vymieňať utajované skutočnosti so stupňom utajenia spravidla najviac RESTREINT UE/EU RESTRICTED so svojou protistranou v tretej krajine alebo medzinárodnej organizácii;
b)dotknutá inštitúcia alebo dotknutý orgán Únie spĺňa podmienky stanovené v článku 54 ods. 1;
c)v správe o hodnotiacej návšteve podľa článku 57 sa potvrdzuje, že príslušná protistrana v dotknutej tretej krajine alebo medzinárodnej organizácii je schopná manipulovať s utajovanými skutočnosťami EÚ určitého stupňa utajenia a uchovávať ich.
2.Pred uzavretím správneho dojednania sa uskutoční hodnotiaca návšteva v súlade so zásadami uvedenými v článku 57. Inštitúcia alebo orgán Únie, ktorý chce uzavrieť správne dojednanie, môže požiadať podskupinu pre zdieľanie utajovaných skutočností EÚ, aby vykonala hodnotiacu návštevu v ich mene alebo aby sa na návšteve zúčastnila.
3.Bezpečnostný orgán inštitúcie alebo orgánu Únie, ktorý chce uzavrieť správne dojednanie, rozhodne o akýchkoľvek osobitných podmienkach upravujúcich výmenu, ako aj o najvyššom stupni utajenia utajovaných skutočností EÚ, ktoré možno vymieňať. Tento stupeň nesmie byť vyšší ako stupeň stanovený na zdieľanie utajovaných skutočností EÚ s inými inštitúciami a orgánmi Únie v súlade s článkom 54 a prípadne by nemal byť vyšší ako stupeň stanovený v dohode o bezpečnosti utajovaných skutočností s tou istou treťou krajinou alebo medzinárodnou organizáciou.
Článok 57
Hodnotiace návštevy na účely výmeny utajovaných skutočností s tretími krajinami a medzinárodnými organizáciami
1.Hodnotiaca návšteva v tretej krajine alebo medzinárodnej organizácii sa vykoná s cieľom určiť, či si inštitúcia alebo orgán Únie môže vymieňať utajované skutočnosti s dotknutou treťou krajinou alebo medzinárodnou organizáciou.
2.Cieľom hodnotiacej návštevy je posúdiť účinnosť bezpečnostných predpisov a postupov v dotknutej tretej krajine alebo medzinárodnej organizácii, pokiaľ ide o ochranu utajovaných skutočností EÚ na danom stupni. Hodnotiaca návšteva sa uskutoční po vzájomnej dohode s dotknutou treťou krajinou alebo medzinárodnou organizáciou.
3.Hodnotiacimi návštevami sa budú hodnotiť aspoň tieto skutočnosti:
a)regulačný rámec platný na ochranu utajovaných skutočností a jeho primeranosť na ochranu utajovaných skutočností EÚ na danom stupni;
b)všetky osobitné charakteristiky bezpečnostnej politiky a spôsobu organizácie bezpečnosti v tretej krajine alebo medzinárodnej organizácii, ktoré môžu mať vplyv na stupeň utajovaných skutočností, ktoré sa môžu vymieňať;
c)uplatňované bezpečnostné opatrenia a postupy;
d)postupy bezpečnostnej previerky týkajúce sa stupňa utajovaných skutočností EÚ, ktoré sa majú poskytnúť.
4.Výbor pre bezpečnosť informácií uvedený v článku 6 ods. 8 dostane správu o zisteniach z takýchto návštev predtým, ako sa utajované skutočnosti EÚ skutočne poskytnú dotknutej tretej krajine alebo medzinárodnej organizácii. V prípade potreby sa správa poskytne aj dotknutej inštitúcii alebo dotknutému orgánu Únie.
5.Bezpečnostné orgány dotknutej inštitúcie alebo dotknutého orgánu Únie oznámia tretej krajine alebo medzinárodnej organizácii dátum, odkedy si môžu vymieňať utajované skutočnosti EÚ, ako aj najvyšší stupeň utajovaných skutočností EÚ, ktoré možno vymieňať v tlačenej podobe alebo elektronickými prostriedkami.
6.Následné návštevy sa organizujú, ak sú splnené tieto podmienky:
a)je potrebné zvýšiť stupeň utajovaných skutočností EÚ, ktoré sa môžu vymieňať;
b)dotknuté inštitúcie alebo orgány Únie boli informované o zásadných zmenách v bezpečnostných opatreniach tretej krajiny alebo medzinárodnej organizácie, ktoré by mohli mať vplyv na spôsob ochrany utajovaných skutočností EÚ;
c)došlo k závažnému incidentu týkajúcemu sa bezpečnosti informácií, ktorý zahŕňal neoprávnené zverejnenie utajovaných skutočností EÚ.
Článok 58
Výnimočné ad hoc poskytnutie utajovaných skutočností EÚ
1.Ak neexistuje dohoda o bezpečnosti utajovaných skutočností alebo správne dojednanie a ak inštitúcia alebo orgán Únie rozhodne, že existuje výnimočná potreba poskytnúť utajované skutočnosti EÚ inej inštitúcii alebo inému orgánu Únie alebo tretej krajine alebo medzinárodnej organizácii, alebo
ak bola uzavretá dohoda o bezpečnosti utajovaných skutočností alebo správne dojednanie a inštitúcia alebo orgán Únie rozhodne, že existuje výnimočná potreba poskytnúť vyšší stupeň utajovaných skutočností EÚ, než sa už stanovuje v dohode alebo dojednaní, inštitúcie alebo orgány Únie poskytujúce utajované skutočnosti EÚ podniknú tieto kroky:
a)v rámci možností overia u bezpečnostných orgánov tretej krajiny, medzinárodnej organizácie alebo prijímajúcej inštitúcie alebo prijímajúceho orgánu Únie, či ich bezpečnostné predpisy, štruktúry a postupy dokážu zabezpečiť ochranu utajovaných skutočností EÚ poskytnutých podľa noriem, ktoré nie sú menej prísne, ako sú normy stanovené v tomto nariadení;
b)požiadajú o stanovisko výbor pre bezpečnosť informácií uvedený v článku 6 ods. 8 na základe overenia vykonaného podľa písmena a), pokiaľ si prevádzkové okolnosti nevyžadujú okamžité poskytnutie ad hoc, pričom v takom prípade bude výbor pre informačnú bezpečnosť následne informovaný.
2.Všetky dokumenty poskytnuté podľa tohto článku musia mať označenie prístupnosti označujúce tretiu krajinu, medzinárodnú organizáciu alebo inštitúciu alebo orgán Únie, ktorým boli poskytnuté.
3.Inštitúcie alebo orgány Únie poskytujúce utajované skutočnosti EÚ pred skutočným poskytnutím alebo po ňom požiadajú prijímajúcu stranu o písomný záväzok, že bude prijaté utajované skutočnosti EÚ chrániť. V prípade potreby sa od nej požaduje, aby sa zaviazala chrániť utajované skutočnosti EÚ v súlade so základnými zásadami a minimálnymi normami stanovenými v tomto nariadení.
Kapitola 6
Záverečné ustanovenia
Článok 59
Vykonávanie
1.Koordinačná skupina vypracuje usmernenia o bezpečnosti informácií na vykonávanie tohto nariadenia.
2.Inštitúcie a orgány Únie môžu na základe svojich špecifických potrieb prijať vnútorné predpisy na účely vykonávania tohto nariadenia v súlade s článkom 8 ods. 2.
Článok 60
Prechodné ustanovenia
1.Vnútorné predpisy v oblasti bezpečnosti informácií prijaté jednotlivou inštitúciou alebo jednotlivým orgánom Únie pred [dd/mm/rrrr dátum začiatku uplatňovania] sa preskúmajú najneskôr do [3 rokov po nadobudnutí účinnosti tohto nariadenia].
2.Všetky inštitúcie a orgány Únie, ktoré Komisia alebo Rada alebo ESVČ posúdili pred [dd/mm/rrrr dátum začiatku uplatňovania] ako vhodné na manipuláciu s utajovanými skutočnosťami EÚ a ich uchovávanie, sa považujú za spĺňajúce podmienky uvedené v článku 19 ods. 1.
3.Akékoľvek správne dojednanie uzavreté medzi inštitúciami a orgánmi Únie a tretími krajinami a medzinárodnými organizáciami pred [dd/mm/rrrr dátum začiatku uplatňovania] zostávajú v platnosti.
4.Ak sa členské štáty, na území ktorých sa príjemcovia dohody o grante Komisie v rámci Programu rozvoja európskeho obranného priemyslu rozhodli mať osobitný bezpečnostný rámec na ochranu vnútroštátnych utajovaných skutočností týkajúcich sa príslušnej dohody o grante a manipuláciu s nimi, Komisia bude pri uplatňovaní postupov priemyselnej bezpečnosti uvedených v tomto nariadení rešpektovať tento bezpečnostný rámec až do konca životného cyklu dohody o grante.
Článok 61
Monitorovanie a hodnotenie
1.Komisia najneskôr do [dd/mm/rrrr 3 roky od dátumu začiatku uplatňovania] predloží Európskemu parlamentu a Rade správu o vykonávaní tohto nariadenia.
2.Komisia najskôr [5 rokov po dátume začiatku uplatňovania] a následne každých 5 rokov vyhodnotí toto nariadenie a správu s hlavnými zisteniami predloží Európskemu parlamentu a Rade.
Článok 62
Nadobudnutie účinnosti a uplatňovanie
1.Toto nariadenie nadobúda účinnosť dvadsiatym dňom po jeho uverejnení v Úradnom vestníku Európskej únie.
2.Uplatňuje sa od [dátum: prvý deň mesiaca nasledujúceho po období 2 rokov po dátume nadobudnutia účinnosti].
Toto nariadenie je záväzné v celom rozsahu a priamo uplatniteľné vo všetkých členských štátoch.
V Bruseli
Za Európsky parlament
Za Radu
predsedníčka
predseda
[…]
[…]
LEGISLATÍVNY FINANČNÝ VÝKAZ
1.RÁMEC NÁVRHU/INICIATÍVY
1.1.Názov návrhu/iniciatívy
1.2.Príslušné oblasti politiky
1.3.Návrh/iniciatíva sa týka:
1.4.Ciele
1.4.1.Všeobecné ciele
1.4.2.Špecifické ciele
1.4.3.Očakávané výsledky a vplyv
1.4.4.Ukazovatele výkonnosti
1.5.Dôvody návrhu/iniciatívy
1.5.1.Požiadavky, ktoré sa majú splniť v krátkodobom alebo dlhodobom horizonte vrátane podrobného harmonogramu prvotnej fázy vykonávania iniciatívy
1.5.2.Prínos zapojenia Únie (môže byť výsledkom rôznych faktorov, napr. lepšej koordinácie, právnej istoty, väčšej účinnosti alebo komplementárnosti). Na účely tohto bodu je „prínos zapojenia Únie“ hodnota vyplývajúca zo zásahu Únie, ktorá dopĺňa hodnotu, ktorú by inak vytvorili len samotné členské štáty.
1.5.3.Poznatky získané z podobných skúseností v minulosti
1.5.4.Zlučiteľnosť s viacročným finančným rámcom a možná synergia s inými vhodnými nástrojmi
1.5.5.Posúdenie rôznych disponibilných možností financovania vrátane možnosti prerozdelenia
1.6.Trvanie a finančný vplyv návrhu/iniciatívy
1.7.Plánovaný spôsob riadenia
2.OPATRENIA V OBLASTI RIADENIA
2.1.Zásady monitorovania a predkladania správ
2.2.Systémy riadenia a kontroly
2.2.1.Opodstatnenie navrhovaných spôsobov riadenia, mechanizmov vykonávania financovania, spôsobov platby a stratégie kontroly
2.2.2.Informácie o zistených rizikách a systémoch vnútornej kontroly zavedených na ich zmierňovanie
2.2.3.Odhad a opodstatnenie nákladovej účinnosti kontrol (pomer medzi nákladmi na kontroly a hodnotou súvisiacich riadených finančných prostriedkov) a posúdenie očakávaných úrovní rizika chyby (pri platbe a uzavretí)
2.3.Opatrenia na predchádzanie podvodom a nezrovnalostiam
3.ODHADOVANÝ FINANČNÝ VPLYV NÁVRHU/INICIATÍVY
3.1.Príslušné okruhy viacročného finančného rámca a rozpočtové riadky výdavkov
3.2.Odhadovaný finančný vplyv návrhu na rozpočtové prostriedky
3.2.1.Zhrnutie odhadovaného vplyvu na operačné rozpočtové prostriedky
3.2.2.Odhadované výsledky financované z operačných rozpočtových prostriedkov
3.2.3.Zhrnutie odhadovaného vplyvu na administratívne rozpočtové prostriedky
3.2.4.Súlad s platným viacročným finančným rámcom
3.2.5.Príspevky od tretích strán
3.3.Odhadovaný vplyv na príjmy
LEGISLATÍVNY FINANČNÝ VÝKAZ
1.RÁMEC NÁVRHU/INICIATÍVY
1.1.Názov návrhu/iniciatívy
Návrh NARIADENIE EURÓPSKEHO PARLAMENTU A RADY o bezpečnosti informácií v inštitúciách a orgánoch, úradoch a agentúrach Únie
1.2.Príslušné oblasti politiky
Európska verejná správa
Predpisy v oblasti bezpečnosti informácií inštitúcií a orgánov Únie by mali spoločne tvoriť komplexný a koherentný všeobecný rámec v rámci európskej administratívy na ochranu informácií a mali by zabezpečiť rovnocennosť základných zásad a minimálnych noriem. Úroveň ochrany poskytovaná informáciám by mala byť takisto rovnocenná vo všetkých inštitúciách a orgánoch Únie.
1.3.Návrh/iniciatíva sa týka:
novej akcie
◻ novej akcie, ktorá nadväzuje na pilotný projekt/prípravnú akciu
◻ predĺženia trvania existujúcej akcie
◻ zlúčenia jednej alebo viacerých akcií do ďalšej/novej akcie alebo presmerovania jednej alebo viacerých akcií na ďalšiu/novú akciu
1.4.Ciele
1.4.1.Všeobecné ciele
Všeobecným cieľom iniciatívy je vytvoriť predpisy v oblasti bezpečnosti informácií pre všetky inštitúcie a orgány Únie s cieľom zabezpečiť zvýšenú a konzistentnú ochranu pred vyvíjajúcimi sa hrozbami pre ich informácie.
1.4.2.Špecifické ciele
• ŠC 1: Zaviesť harmonizované a komplexné kategórie informácií, ako aj spoločné požiadavky na manipuláciu so všetkými informáciami, s ktorými manipuluje európska administratíva, a uľahčiť bezpečnú výmenu informácií medzi inštitúciami a orgánmi Únie a zároveň minimalizovať vplyv na členské štáty.
• ŠC 2: Zabezpečiť, aby všetky inštitúcie a orgány Únie identifikovali všetky bezpečnostné nedostatky vo svojich procesoch a zaviedli opatrenia potrebné na zabezpečenie rovnakých podmienok v oblasti bezpečnosti informácií.
• ŠC 3: Vytvoriť systém efektívnej spolupráce v oblasti bezpečnosti informácií medzi inštitúciami a orgánmi Únie, ktorou sa bude podporovať koherentná kultúra bezpečnosti informácií v celej európskej administratíve.
• ŠC 4: Modernizovať politiky bezpečnosti informácií na všetkých úrovniach stupňa utajenia/kategorizácie pre všetky inštitúcie a orgány Únie pri zohľadnení digitálnej transformácie a rozvoja telepráce ako štrukturálnej praxe.
1.4.3.Očakávané výsledky a vplyv
Uveďte, aký vplyv by mal mať návrh/iniciatíva na prijímateľov/cieľové skupiny.
Návrh bude mať na inštitúcie a orgány Únie tieto vplyvy:
–preskúmanie svojich vnútorných predpisov a postupov s cieľom prispôsobiť ich nariadeniu,
–kategorizovanie všetkých informácií, s ktorými sa manipuluje v súlade so systémom stanoveným v nariadení,
–zabezpečenie, aby ich komunikačné a informačné systémy spĺňali požiadavky stanovené v nariadení,
–účasť v medziinštitucionálnej koordinačnej skupine pre bezpečnosť informácií (ďalej len „koordinačná skupina“).
Členské štáty budú mať úžitok z tohto nariadenia, keďže spolupráca s inštitúciami a orgánmi Únie vo všetkých príslušných oblastiach (personálna bezpečnosť, priemyselná bezpečnosť alebo zdieľanie informácií) by bola založená na rovnakých koncepciách, pravidlách a postupoch.
1.4.4.Ukazovatele výkonnosti
Uveďte ukazovatele na monitorovanie pokroku a dosiahnutých výsledkov.
Ukazovatele relevantné pre špecifický cieľ č. 1
–prijatie vhodných usmernení
–zavedenie nových označení
–uverejnenie aktualizovaných pokynov na manipuláciu pre všetky kategórie informácií
–zavedenie spoločných systémov na manipuláciu s citlivými neutajovanými skutočnosťami a utajovanými skutočnosťami EÚ
Ukazovatele relevantné pre špecifický cieľ č. 2
–počet poskytnutých/vykonaných odporúčaní
–počet únikov informácií medzi inštitúciami a orgánmi
Ukazovatele relevantné pre špecifický cieľ č. 3
–štatistiky centralizovaného obstarávania v porovnaní s miestnym obstarávaním
–správy o kontrole
–počet otázok, ktorými sa zaoberal sekretariát koordinačnej skupiny pre bezpečnosť informácií
Ukazovatele relevantné pre špecifický cieľ č. 4
–počet používateľov, ktorí absolvujú odbornú prípravu
–úroveň informovanosti personálu o predpisoch v oblasti bezpečnosti informácií
–percentuálny podiel zamestnancov, ktorí majú možnosť pracovať s bezpečným zariadením na teleprácu
1.5.Dôvody návrhu/iniciatívy
1.5.1.Požiadavky, ktoré sa majú splniť v krátkodobom alebo dlhodobom horizonte vrátane podrobného harmonogramu prvotnej fázy vykonávania iniciatívy
Implementácia tejto iniciatívy bude prebiehať postupne takto:
–2022/2023: prijatie nariadenia, nadobudnutie účinnosti
–2024/2025: preskúmanie vnútorných predpisov v oblasti bezpečnosti informácií zo strany všetkých inštitúcií a orgánov Únie s cieľom prispôsobiť ich nariadeniu
–2025: organizačná práca na vytvorení koordinačnej skupiny a jej sekretariátu, ako aj technických podskupín
–2024/2025: začiatok uplatňovania nariadenia
–2025/2026: prijatie rokovacieho poriadku pre koordinačnú skupinu a technické podskupiny
–2026 – 2028: práca na usmerňovacích dokumentoch ako podpora implementácie nariadenia, výmena najlepších postupov medzi inštitúciami a orgánmi
–2029/2030: príprava prvého hodnotenia nariadenia (každých 5 rokov od dátumu začiatku uplatňovania)
–2030: prvé hodnotenie nariadenia
1.5.2.Prínos zapojenia Únie (môže byť výsledkom rôznych faktorov, napr. lepšej koordinácie, právnej istoty, väčšej účinnosti alebo komplementárnosti). Na účely tohto bodu je „prínos zapojenia Únie“ hodnota vyplývajúca zo zásahu Únie, ktorá dopĺňa hodnotu, ktorú by inak vytvorili len samotné členské štáty.
Iniciatíva prispieva k zabezpečeniu toho, aby inštitúciám a orgánom Únie pri ich poslaní pomáhala otvorená, účinná a nezávislá administratíva.
Dopĺňa všeobecné vnútroštátne úsilie členských štátov v oblasti bezpečnosti EÚ tým, že chráni inštitúcie a orgány pred vonkajšími zásahmi a špionážnou činnosťou.
1.5.3.Poznatky získané z podobných skúseností v minulosti
1.5.4.Zlučiteľnosť s viacročným finančným rámcom a možná synergia s inými vhodnými nástrojmi
Projekt si vyžaduje prerozdelenie/pridelenie 2 FTE pre sekretariát koordinačnej skupiny pre bezpečnosť informácií.
Iné projekty, ako napríklad vývoj spoločných nástrojov a centralizácia niektorých činností, už čiastočne prebiehajú a vzťahujú sa na ne dohody o úrovni poskytovaných služieb a rámcové zmluvy.
1.5.5.Posúdenie rôznych disponibilných možností financovania vrátane možnosti prerozdelenia
Pozri predchádzajúci oddiel.
1.6.Trvanie a finančný vplyv návrhu/iniciatívy
◻ obmedzené trvanie
–◻
v platnosti od [DD/MM]RRRR do [DD/MM]RRRR
–◻
Finančný vplyv na viazané rozpočtové prostriedky od RRRR do RRRR a na platobné rozpočtové prostriedky od RRRR do RRRR.
– neobmedzené trvanie
1.7.Plánovaný spôsob riadenia
Priame riadenie na úrovni Komisie a individuálnych inštitúcií a orgánov Únie
– prostredníctvom jej útvarov vrátane zamestnancov v delegáciách Únie
–◻
prostredníctvom výkonných agentúr
◻ Zdieľané riadenie s členskými štátmi
◻ Nepriame riadenie, pri ktorom sa plnením rozpočtu poveria:
–◻ tretie krajiny alebo subjekty, ktoré tieto krajiny určili,
–◻ medzinárodné organizácie a ich agentúry (uveďte),
–◻ Európska investičná banka (EIB) a Európsky investičný fond,
–◻ subjekty uvedené v článkoch 70 a 71 nariadenia o rozpočtových pravidlách,
–◻ verejnoprávne subjekty,
–◻ súkromnoprávne subjekty poverené vykonávaním verejnej služby, pokiaľ sú im poskytnuté primerané finančné záruky,
–◻ súkromnoprávne subjekty spravované právom členského štátu, ktoré sú poverené vykonávaním verejno-súkromného partnerstva a ktorým sú poskytnuté primerané finančné záruky,
–◻ osoby poverené vykonávaním osobitných činností v oblasti SZBP podľa hlavy V Zmluvy o Európskej únii a určené v príslušnom základnom akte.
–V prípade viacerých spôsobov riadenia uveďte v oddiele „Poznámky“ presnejšie vysvetlenie.
Poznámky:
2.OPATRENIA V OBLASTI RIADENIA
2.1.Zásady monitorovania a predkladania správ
Uveďte frekvenciu a podmienky, ktoré sa vzťahujú na tieto opatrenia.
Každých 5 rokov sa nariadenie vyhodnotí a Komisia predloží správu o svojich zisteniach Rade a Európskemu parlamentu.
2.2.Systémy riadenia a kontroly
2.2.1.Opodstatnenie navrhovaných spôsobov riadenia, mechanizmov vykonávania financovania, spôsobov platby a stratégie kontroly
V nariadení sa stanovujú predpisy v oblasti bezpečnosti informácií uplatniteľné na všetky inštitúcie a orgány Únie. Kontrola riadneho vykonávania bude prebiehať prostredníctvom koordinačnej skupiny zahŕňajúcej všetky bezpečnostné orgány inštitúcií a orgánov.
Za bezpečnosť je naďalej plne zodpovedný bezpečnostný orgán každej inštitúcie alebo každého orgánu, pričom podlieha existujúcemu rámcu vnútornej kontroly každej inštitúcie alebo každého orgánu.
2.2.2.Informácie o zistených rizikách a systémoch vnútornej kontroly zavedených na ich zmierňovanie
Nariadením sa vytvorí základná úroveň predpisov v oblasti bezpečnosti informácií a zabezpečí sa transparentnosť bezpečnostných opatrení pre výmenu informácií medzi inštitúciami a orgánmi Únie, čím sa znížia riziká súvisiace s informačnou bezpečnosťou.
Nariadenie je v súlade s normami vnútornej kontroly a zahŕňa prístup založený na riziku pri tvorbe politiky.
2.2.3.Odhad a opodstatnenie nákladovej účinnosti kontrol (pomer medzi nákladmi na kontroly a hodnotou súvisiacich riadených finančných prostriedkov) a posúdenie očakávaných úrovní rizika chyby (pri platbe a uzavretí)
Budú sa uplatňovať existujúce kontrolné mechanizmy pre inštitúcie a orgány. Súlad s nariadením a riziká súvisiace s bezpečnosťou informácií by sa mali uvádzať vo výročných správach o rizikách inštitúcií a orgánov.
2.3.Opatrenia na predchádzanie podvodom a nezrovnalostiam
Uveďte existujúce alebo plánované preventívne a ochranné opatrenia, napr. zo stratégie na boj proti podvodom.
3.ODHADOVANÝ FINANČNÝ VPLYV NÁVRHU/INICIATÍVY
3.1.Príslušné okruhy viacročného finančného rámca a rozpočtové riadky výdavkov
·Existujúce rozpočtové riadky
V poradí, v akom za sebou nasledujú okruhy viacročného finančného rámca a rozpočtové riadky.
|
Okruh viacročného finančného rámca
|
Rozpočtový riadok
|
Druh
výdavkov
|
Príspevky
|
|
|
Číslo
|
DRP/NRP.
|
z krajín EZVO
|
z kandidátskych krajín
|
tretích krajín
|
v zmysle článku 21 ods. 2 písm. b) nariadenia o rozpočtových pravidlách
|
|
H7
|
20 01 02 01
|
NRP
|
NIE
|
NIE
|
NIE
|
NIE
|
·Požadované nové rozpočtové riadky
V poradí, v akom za sebou nasledujú okruhy viacročného finančného rámca a rozpočtové riadky.
|
Okruh viacročného finančného rámca
|
Rozpočtový riadok
|
Druh
výdavkov
|
Príspevky
|
|
|
Číslo
|
DRP/NRP
|
krajín EZVO
|
kandidátskych krajín
|
tretích krajín
|
v zmysle článku 21 ods. 2 písm. b) nariadenia o rozpočtových pravidlách
|
|
|
Žiadne
|
|
ÁNO/
NIE
|
ÁNO/
NIE
|
ÁNO/
NIE
|
ÁNO/
NIE
|
3.2.Odhadovaný finančný vplyv návrhu na rozpočtové prostriedky
3.2.1.Zhrnutie odhadovaného vplyvu na operačné rozpočtové prostriedky
–
Návrh/iniciatíva si nevyžaduje použitie operačných rozpočtových prostriedkov.
–
Návrh/iniciatíva si vyžaduje použitie týchto operačných rozpočtových prostriedkov:
v mil. EUR (zaokrúhlené na 3 desatinné miesta)
|
Okruh viacročného finančného
rámca
|
Číslo
|
|
|
GR: <…….>
|
|
|
Rok
N
|
Rok
N + 1
|
Rok
N + 2
|
Rok
N + 3
|
Uveďte všetky roky, počas ktorých vplyv trvá (pozri bod 1.6)
|
SPOLU
|
|
• Operačné rozpočtové prostriedky
|
|
|
|
|
|
|
|
|
|
Rozpočtový riadok
|
Záväzky
|
(1a)
|
|
|
|
|
|
|
|
|
|
|
Platby
|
(2a)
|
|
|
|
|
|
|
|
|
|
Rozpočtový riadok
|
Záväzky
|
(1b)
|
|
|
|
|
|
|
|
|
|
|
Platby
|
(2b)
|
|
|
|
|
|
|
|
|
|
Administratívne rozpočtové prostriedky financované z finančného krytia na vykonávanie osobitných programov
|
|
|
|
|
|
|
|
|
|
Rozpočtový riadok
|
|
(3)
|
|
|
|
|
|
|
|
|
|
Rozpočtové prostriedky
pre GR <…….> SPOLU
|
Záväzky
|
= 1a + 1b + 3
|
|
|
|
|
|
|
|
|
|
|
Platby
|
= 2a + 2b
+ 3
|
|
|
|
|
|
|
|
|
• Operačné rozpočtové prostriedky SPOLU
|
Záväzky
|
(4)
|
|
|
|
|
|
|
|
|
|
|
Platby
|
(5)
|
|
|
|
|
|
|
|
|
|
• Administratívne rozpočtové prostriedky financované z finančného krytia na vykonávanie osobitných programov SPOLU
|
(6)
|
|
|
|
|
|
|
|
|
|
Rozpočtové prostriedky OKRUHU <….>
viacročného finančného rámca SPOLU
|
Záväzky
|
= 4 + 6
|
|
|
|
|
|
|
|
|
|
|
Platby
|
= 5 + 6
|
|
|
|
|
|
|
|
|
Ak má návrh/iniciatíva vplyv na viaceré operačné okruhy, zopakujte oddiel uvedený vyššie:
|
• Operačné rozpočtové prostriedky SPOLU (všetky operačné okruhy)
|
Záväzky
|
(4)
|
|
|
|
|
|
|
|
|
|
|
Platby
|
(5)
|
|
|
|
|
|
|
|
|
|
Administratívne rozpočtové prostriedky financované z finančného krytia na vykonávanie osobitných programov SPOLU (všetky operačné okruhy)
|
(6)
|
|
|
|
|
|
|
|
|
|
Rozpočtové prostriedky
OKRUHOV 1 až 6
viacročného finančného rámca SPOLU
(referenčná suma)
|
Záväzky
|
= 4 + 6
|
|
|
|
|
|
|
|
|
|
|
Platby
|
= 5 + 6
|
|
|
|
|
|
|
|
|
Okruh viacročného finančného
rámca
|
7
|
„Administratívne výdavky“
|
Tento oddiel treba vyplniť s použitím rozpočtových údajov administratívnej povahy, ktoré sa najprv uvedú v
prílohe k legislatívnemu finančnému výkazu
(príloha V k interným pravidlám), ktorá sa na účely medziútvarovej konzultácie nahrá do aplikácie DECIDE.
v mil. EUR (zaokrúhlené na 3 desatinné miesta)
|
|
|
|
Rok
2023
|
Rok
2024
|
Rok
2025
|
Rok
2026
|
Rok
2027
|
SPOLU
|
|
GR: HR
|
|
• Ľudské zdroje
|
0,314
|
0,314
|
0,314
|
0,314
|
0,314
|
1,570
|
|
• Ostatné administratívne výdavky
|
|
|
|
|
|
|
|
GR <…….> SPOLU
|
Rozpočtové prostriedky
|
0,314
|
0,314
|
0,314
|
0,314
|
0,314
|
1,570
|
|
Rozpočtové prostriedky
OKRUHU 7
viacročného finančného rámca SPOLU
|
(Záväzky spolu = Platby spolu)
|
0,314
|
0,314
|
0,314
|
0,314
|
0,314
|
1,570
|
v EUR (zaokrúhlené na 3 desatinné miesta)
|
|
|
|
Rok
2023
|
Rok
2024
|
Rok
2025
|
Rok
2026
|
Rok
2027
|
SPOLU
|
|
Rozpočtové prostriedky
OKRUHOV 1 až 7
viacročného finančného rámca SPOLU
|
Záväzky
|
0,314
|
0,314
|
0,314
|
0,314
|
0,314
|
1,570
|
|
|
Platby
|
0,314
|
0,314
|
0,314
|
0,314
|
0,314
|
1,570
|
3.2.2.Odhadované výsledky financované z operačných rozpočtových prostriedkov
viazané rozpočtové prostriedky v mil. EUR (zaokrúhlené na 3 desatinné miesta)
|
Uveďte ciele a výstupy
⇩
|
|
|
Rok
N
|
Rok
N + 1
|
Rok
N + 2
|
Rok
N + 3
|
Uveďte všetky roky, počas ktorých vplyv trvá (pozri bod 1.6)
|
SPOLU
|
|
|
VÝSTUPY
|
|
|
Druh
|
Priemerné náklady
|
Počet
|
Náklady
|
Počet
|
Náklady
|
Počet
|
Náklady
|
Počet
|
Náklady
|
Počet
|
Náklady
|
Počet
|
Náklady
|
Počet
|
Náklady
|
Počet spolu
|
Náklady spolu
|
|
ŠPECIFICKÝ CIEĽ č. 1…
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
‒ Výstup
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
‒ Výstup
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
‒ Výstup
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
Špecifický cieľ č. 1 medzisúčet
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
ŠPECIFICKÝ CIEĽ č. 2…
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
‒ Výstup
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
Špecifický cieľ č. 2 medzisúčet
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
SPOLU
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
3.2.3.Zhrnutie odhadovaného vplyvu na administratívne rozpočtové prostriedky
–◻
Návrh/iniciatíva si nevyžaduje použitie administratívnych rozpočtových prostriedkov
–Návrh/iniciatíva si vyžaduje použitie týchto administratívnych rozpočtových prostriedkov:
v mil. EUR (zaokrúhlené na 3 desatinné miesta)
|
|
Rok
2023
|
Rok
2024
|
Rok
2025
|
Rok
2026
|
Rok
2027
|
SPOLU
|
|
OKRUH 7
viacročného finančného rámca
|
|
|
|
|
|
|
|
Ľudské zdroje
|
0,314
|
0,314
|
0,314
|
0,314
|
0,314
|
1,570
|
|
Ostatné administratívne výdavky
|
|
|
|
|
|
|
|
Medzisúčet OKRUHU 7
viacročného finančného rámca
|
0,314
|
0,314
|
0,314
|
0,314
|
0,314
|
1,570
|
|
Mimo OKRUHU 7 viacročného finančného rámca
|
|
|
|
|
|
|
|
Ľudské zdroje
|
|
|
|
|
|
|
|
Ostatné administratívne výdavky
|
|
|
|
|
|
|
|
Medzisúčet
mimo OKRUHU 7
viacročného finančného rámca
|
|
|
|
|
|
|
|
SPOLU
|
0,314
|
0,314
|
0,314
|
0,314
|
0,314
|
1,570
|
Rozpočtové prostriedky potrebné na ľudské zdroje a na ostatné administratívne výdavky budú pokryté rozpočtovými prostriedkami GR, ktoré už boli pridelené na riadenie akcie a/alebo boli prerozdelené v rámci GR, a v prípade potreby budú doplnené zdrojmi, ktoré sa môžu prideliť riadiacemu GR v rámci ročného postupu prideľovania zdrojov a v závislosti od rozpočtových obmedzení.
3.2.3.1.Odhadované potreby ľudských zdrojov
–◻
Návrh/iniciatíva si nevyžaduje použitie ľudských zdrojov.
–Návrh/iniciatíva si vyžaduje použitie týchto ľudských zdrojov:
odhady sa vyjadrujú v jednotkách ekvivalentu plného pracovného času
|
|
Rok
2023
|
Rok
2024
|
Rok
2025
|
Rok 2026
|
Rok 2027
|
|
20 01 02 01 (ústredie a zastúpenia Komisie)
|
2
|
2
|
2
|
2
|
2
|
|
20 01 02 03 (delegácie)
|
|
|
|
|
|
|
01 01 01 01 (nepriamy výskum)
|
|
|
|
|
|
|
01 01 01 11 (priamy výskum)
|
|
|
|
|
|
|
Iné rozpočtové riadky (uveďte)
|
|
|
|
|
|
|
20 02 01 (ZZ, VNE, DAZ z celkového finančného krytia)
|
|
|
|
|
|
|
20 02 03 (ZZ, MZ, VNE, DAZ, PED v delegáciách)
|
|
|
|
|
|
|
XX 01 xx yy zz
|
‒ ústredie
|
|
|
|
|
|
|
|
– delegácie
|
|
|
|
|
|
|
01 01 01 02 (ZZ, DAZ, VNE – nepriamy výskum)
|
|
|
|
|
|
|
01 01 01 12 (ZZ, DAZ, VNE – priamy výskum)
|
|
|
|
|
|
|
Iné rozpočtové riadky (uveďte)
|
|
|
|
|
|
|
SPOLU
|
2
|
2
|
2
|
2
|
2
|
XX predstavuje príslušnú oblasť politiky alebo rozpočtovú hlavu.
Potreby ľudských zdrojov budú pokryté úradníkmi GR, ktorí už boli pridelení na riadenie akcie a/alebo boli interne prerozdelení v rámci GR, a v prípade potreby budú doplnené zdrojmi, ktoré sa môžu prideliť riadiacemu GR v rámci ročného postupu prideľovania zdrojov a v závislosti od rozpočtových obmedzení.
Opis úloh, ktoré sa majú vykonať:
|
Úradníci a dočasní zamestnanci
|
Sekretariát koordinačnej skupiny pre bezpečnosť informácií: 1 administrátor + 1 asistent
|
|
Externí zamestnanci
|
|
3.2.4.Súlad s platným viacročným finančným rámcom
Návrh/iniciatíva:
–môže byť v plnej miere financovaná prerozdelením v rámci príslušného okruhu viacročného finančného rámca (VFR).
V návrhu sa vyžaduje pridelenie dvoch zamestnancov stálemu sekretariátu medziinštitucionálnej koordinačnej skupiny so sídlom v HR.DS.
–◻
si vyžaduje použitie nepridelenej rezervy v rámci príslušného okruhu VFR a/alebo použitie osobitných nástrojov vymedzených v nariadení o VFR.
Vysvetlite potrebu a uveďte príslušné okruhy, rozpočtové riadky, zodpovedajúce sumy a nástroje, ktorých použitie sa navrhuje.
–◻
si vyžaduje revíziu VFR.
Vysvetlite potrebu a uveďte príslušné okruhy, rozpočtové riadky a zodpovedajúce sumy.
3.2.5.Príspevky od tretích strán
Návrh/iniciatíva:
–
nezahŕňa spolufinancovanie tretími stranami
–◻
zahŕňa spolufinancovanie tretími stranami, ako je odhadnuté v nasledujúcej tabuľke:
rozpočtové prostriedky v mil. EUR (zaokrúhlené na 3 desatinné miesta)
|
|
Rok
N
|
Rok
N + 1
|
Rok
N + 2
|
Rok
N + 3
|
Spolu
|
|
Uveďte spolufinancujúci subjekt
|
|
|
|
|
|
|
Prostriedky zo spolufinancovania SPOLU
|
|
|
|
|
|
Poznámka: návrhom sa zintenzívni súčasná spolupráca v oblasti bezpečnosti informácií prostredníctvom dohôd o úrovni poskytovaných služieb.
3.3.Odhadovaný vplyv na príjmy
–Návrh/iniciatíva nemá finančný vplyv na príjmy.
–◻
Návrh/iniciatíva má tento finančný vplyv na príjmy:
vplyv na vlastné zdroje
vplyv na iné príjmy
uveďte, či sú príjmy pripísané rozpočtovým riadkom výdavkov
v mil. EUR (zaokrúhlené na 3 desatinné miesta)
|
Rozpočtový riadok príjmov:
|
Rozpočtové prostriedky k dispozícii v bežnom rozpočtovom roku
|
Vplyv návrhu/iniciatívy
|
|
|
|
Rok
N
|
Rok
N + 1
|
Rok
N + 2
|
Rok
N + 3
|
V prípade pripísaných príjmov uveďte príslušné rozpočtové riadky výdavkov.
Ďalšie poznámky (napr. spôsob/vzorec použitý na výpočet vplyvu na príjmy alebo akékoľvek ďalšie informácie).