EUR-Lex - 02000Q3614-20200423 - EN

POGLAVJE I

KOMISIJA

Člen 1

Kolegijski organ

Komisija deluje kot kolegijski organ v skladu z določbami tega poslovnika in ob upoštevanju prednostnih nalog, ki jih je določila v okviru političnih smernic, kakor jih je določil predsednik v skladu s členom 17(6) PEU.

Člen 2

Politične smernice, prednostne naloge, delovni program in proračun

V skladu s političnimi smernicami, ki jih določi predsednik, Komisija določi svoje prednostne naloge in jih vključi v svoj delovni program ter predlog proračuna, ki ga sprejme vsako leto.

Člen 3

Predsednik

1. Predsednik določa politične smernice, po katerih Komisija opravlja svoje naloge ( 1 ). Usmerja delo Komisije, da zagotovi njihovo izvedbo.

2. Predsednik odloča o notranji organizaciji Komisije, s čimer zagotavlja, da deluje usklajeno, učinkovito in kot kolegij ( 2 ).

Brez poseganja v člen 18(4) PEU predsednik dodeli članom Komisije posebna področja delovanja, glede katerih so posebej pristojni za pripravo dela Komisije in izvajanje njenih odločitev ( 3 ).

Predsednik lahko od članov Komisije zahteva, da opravljajo določene naloge, s katerimi se zagotovi izvajanje političnih smernic, ki jih je določil, in prednostnih nalog, ki jih je določila Komisija.

Predsednik lahko dodelitev teh nalog kadar koli spremeni ( 4 ).

Člani Komisije izvajajo naloge, ki jim jih je dodelil predsednik, pod njegovim vodstvom ( 5 ).

3. Predsednik imenuje podpredsednike med člani Komisije ( 6 ), razen visokega predstavnika Unije za zunanje zadeve in varnostno politiko, ter določi prednostni vrstni red znotraj Komisije.

4. Predsednik lahko ustanovi skupine, ki jih sestavljajo člani Komisije, in imenuje njihove predsednike, določi mandat in ureditev delovanja teh skupin ter njihovo sestavo in trajanje njihovega delovanja.

5. Predsednik predstavlja Komisijo. Predsednik imenuje člane Komisije, ki mu pri tej nalogi pomagajo.

6. Brez poseganja v člen 18(1) PEU član Komisije odstopi na zahtevo predsednika ( 7 ).

Člen 4

Postopki odločanja

Komisija odloča:

(a)

na sejah Komisije po ustnem postopku v skladu z določbami člena 8 tega poslovnika; ali

(b)

po pisnem postopku v skladu z določbami člena 12 tega poslovnika; ali

(c)

po postopku pooblastitve v skladu z določbami člena 13 tega poslovnika; ali

(d)

po postopku prenosa v skladu z določbami člena 14 tega poslovnika.

ODDELEK 1

Seje komisije

Člen 5

Sklic

1. Seje Komisije sklicuje predsednik.

2. Komisija se praviloma sestaja najmanj enkrat na teden. Po potrebi se sestane tudi na dodatnih sejah.

Če se nekateri ali vsi člani Komisije zaradi izrednih razmer ne morejo osebno udeležiti seje Komisije, jih predsednik lahko pozove, naj uporabijo telekomunikacijske sisteme, ki omogočajo njihovo identifikacijo in učinkovito sodelovanje.

3. Člani Komisije se morajo udeleževati vseh sej. Kadar se član Komisije ne more udeležiti seje, o razlogih za odsotnost pravočasno obvesti predsednika. Predsednik presodi, ali so v nekaterih okoliščinah člani lahko oproščeni te dolžnosti.

Člen 6

Dnevni red sej Komisije

1. Dnevni red vsake seje Komisije sprejme predsednik.

2. Brez poseganja v pravico predsednika, da sprejme dnevni red, se vsak predlog, ki vključuje večje izdatke, predloži v dogovoru s članom Komisije, odgovornim za proračun.

3. Kadar član Komisije predlaga uvrstitev točke na dnevni red, o tem obvesti predsednika pod pogoji, ki jih določi Komisija v skladu s pravili za izvajanje iz člena 28 tega poslovnika (v nadaljnjem besedilu: pravila za izvajanje).

4. Dnevni red in potrebni dokumenti se članom Komisije razdelijo pod pogoji, določenimi v skladu s pravili za izvajanje.

5. Na predlog predsednika lahko Komisija obravnava vprašanje, ki ni na dnevnem redu ali za katero je bilo potrebno gradivo razdeljeno prepozno.

Člen 7

Sklepčnost

Za sklepčnost Komisije je potrebna prisotnost večine števila članov, ki je določeno v Pogodbi.

Kadar predsednik uporabi drugi pododstavek člena 5(2), se za namene sklepčnosti šteje, da so člani Komisije, ki sodelujejo v posvetovanjih z uporabo telekomunikacijskih sistemov iz navedenega člena, prisotni.

Člen 8

Odločanje

1. Komisija odloča na podlagi predlogov enega ali več svojih članov.

2. Glasuje, če tako zahteva eden od članov. Glasuje o izvirnem osnutku besedila ali o spremenjenem osnutku besedila, kakor so ga spremenili član ali člani, odgovorni za pobudo, ali predsednik.

3. Odločitve Komisije se sprejmejo, kadar zanje glasuje večina števila članov, ki je določeno v Pogodbi.

4. Predsednik ugotovi izid razprav, ki se vnese v zapisnik seje, kakor predvideva člen 11 tega poslovnika.

Člen 9

Zaupnost

Seje Komisije niso javne. Razprave so zaupne.

Člen 10

Udeležba uradnikov in drugih oseb

1. Če Komisija ne odloči drugače, se generalni sekretar in vodja kabineta predsednika udeležujeta sej. Pravila za izvajanje določajo pogoje, pod katerimi se sej lahko udeležijo druge osebe.

2. Kadar eden od članov Komisije ni prisoten, se seje lahko udeleži vodja njegovega kabineta in na povabilo predsednika pojasni stališče odsotnega člana.

3. Komisija lahko odloči, da bo na sejo povabila katero koli drugo osebo.

4. Kadar predsednik uporabi drugi pododstavek člena 5(2), se osebe iz odstavkov 1 do 3 lahko sodelujejo na sejah z uporabo telekomunikacijskih sistemov iz navedenega pododstavka.

Člen 11

Zapisniki

1. O vseh sejah Komisije se piše zapisnik.

2. Osnutki zapisnikov se predložijo Komisiji v odobritev na eni od naslednjih sej. Odobrene zapisnike s svojim podpisom overovita predsednik in generalni sekretar.

ODDELEK 2

Drugi postopki odločanja

Člen 12

Odločitve po pisnem postopku

1. Soglasje članov Komisije v zvezi z osnutkom besedila, ki ga pripravi eden ali več njenih članov, se lahko pridobi po pisnem postopku, če ga je predhodno odobrila pravna služba in z njim po ustreznem posvetovanju v skladu s pogoji iz člena 23 tega poslovnika soglašajo službe.

Ta odobritev in/ali soglasje lahko nadomesti soglasje med člani Komisije, kadar kolegij med sejo na predlog predsednika odloči o začetku zaključnega pisnega postopka, kakor je določeno s pravili za izvajanje.

2. V ta namen se besedilo osnutka v pisni obliki razdeli vsem članom Komisije pod pogoji, ki jih določi Komisija v skladu s pravili za izvajanje, skupaj z rokom, predvidenim za sporočanje morebitnih pridržkov ali sprememb glede osnutka.

3. Kateri koli član Komisije lahko med pisnim postopkom zahteva razpravo o osnutku besedila. Zahtevo z ustrezno utemeljitvijo pošlje predsedniku.

4. Če nihče od članov Komisije do izteka roka, ki je predviden za pisni postopek, ni izrazil zahteve za odložitev sprejetja osnutka besedila ali pri njej vztrajal, se šteje, da je Komisija osnutek sprejela.

▼M14

5. Vsak član Komisije, ki želi odložitev pisnega postopka na področju usklajevanja in nadzora gospodarske in proračunske politike držav članic, zlasti z euroobmočja, naslovi na predsednika obrazloženo zahtevo v zvezi s tem, v kateri so izrecno navedeni vidiki osnutka sklepa, na katere se zahteva nanaša, na podlagi nepristranske in objektivne ocene časovnega vidika, strukture, utemeljitve ali rezultata predlaganega sklepa.

Če po mnenju predsednika navedeni razlogi niso utemeljeni in se pri zahtevi za odložitev vztraja, lahko predsednik zavrne odložitev in se odloči za nadaljevanje pisnega postopka; v tem primeru generalni sekretar pridobi stališča drugih članov Komisije, da se zagotovi upoštevanje sklepčnosti v skladu s členom 250 Pogodbe o delovanju Evropske unije. Predsednik lahko točko za namen njenega sprejetja tudi vključi na dnevni red naslednje seje Komisije.

Člen 13

Odločitve po postopku pooblastitve

1. Komisija lahko ob polnem upoštevanju načela svoje kolektivne odgovornosti enega ali več svojih članov pooblasti, da v njenem imenu sprejmejo upravljalne ali administrativne ukrepe v okviru omejitev in pogojev, ki jih določi.

2. Poleg tega lahko Komisija naroči enemu ali več svojim članom, naj s soglasjem predsednika sprejmejo končno besedilo akta ali predloga, ki bo predložen drugim institucijam in katerega vsebino je Komisija že določila v svoji razpravi.

3. Tako podeljena pooblastila se lahko nadalje prenesejo na generalne direktorje in vodje služb, če tega izrecno ne prepoveduje odločitev o pooblastitvi.

4. Določbe odstavkov 1, 2 in 3 ne posegajo v predpise, ki se nanašajo na prenose pooblastil v zvezi s finančnimi zadevami in pooblastila, podeljena organu za imenovanja ter organu, pooblaščenemu za sklenitev pogodb o zaposlitvi.

Člen 14

Odločitve po postopku prenosa

Komisija lahko ob polnem upoštevanju načela svoje kolektivne odgovornosti prenese na generalne direktorje in vodje služb pooblastila, da v njenem imenu sprejmejo upravljalne ali administrativne ukrepe v okviru omejitev in pogojev, ki jih določi.

Člen 15

Nadaljnji prenos pooblastil za sprejemanje odločitev glede dodelitve subvencij in oddaje javnih naročil

Generalni direktor ali vodja službe, na katerega so bila v skladu s členoma 13 in 14 nadalje prenesena ali prenesena pooblastila za sprejetje sklepov o financiranju, se lahko odloči, da nadalje prenese pooblastila za sprejetje nekaterih odločitev o izboru projektov ter nekaterih posameznih odločitev o dodelitvi subvencij in oddaji javnih naročil na pristojnega direktorja ali – s soglasjem pristojnega člana Komisije – na pristojnega vodjo enote v okviru omejitev in pogojev, določenih v pravilih za izvajanje.

Člen 16

Obveščanje o sprejetih odločitvah

Odločitve, ki se sprejmejo po pisnem postopku, postopku pooblastitve ali postopku prenosa, se zapišejo v dnevni ali tedenski dnevnik, na katerega se navede sklic v zapisniku prve naslednje seje Komisije.

ODDELEK 3

Določbe za vse postopke odločanja

Člen 17

Overovitev aktov, ki jih sprejme Komisija

1. Akti, ki jih sprejme Komisija na seji, se v verodostojnem jeziku ali jezikih priložijo sklepni beležki, pripravljeni med sejo, na kateri so bili sprejeti, in skupaj z njo sestavljajo neločljivo celoto. Overovita jih predsednik in generalni sekretar s podpisom na zadnji strani sklepne beležke.

Ko predsednik uporabi drugi pododstavek člena 5(2) in kadar zaradi okoliščin sklepne beležke ni mogoče podpisati, lahko izrecno pisno soglasje predsednika in generalnega sekretarja Komisije, ki se priloži tej sklepni beležki, izjemoma nadomesti njuna podpisa.

2. Nezakonodajne akte Komisije iz člena 297(2) PEU, sprejete po pisnem postopku, overovita predsednik in generalni sekretar s podpisom na zadnji strani sklepne beležke iz prejšnjega odstavka, razen če morajo biti ti akti objavljeni in začeti veljati pred datumom naslednje seje Komisije. Za to overovitev se kopija dnevnikov iz člena 16 tega poslovnika priloži sklepni beležki iz prejšnjega odstavka in skupaj z njo sestavlja neločljivo celoto.

Drugi akti, sprejeti po pisnem postopku, in akti, sprejeti po postopku pooblastitve, in sicer v skladu s členom 12 ter členom 13(1) in (2) tega poslovnika, se v verodostojnem jeziku ali jezikih priložijo dnevniku iz člena 16 tega poslovnika in skupaj z njim sestavljajo neločljivo celoto. Overovi jih generalni sekretar s podpisom na zadnji strani dnevnika.

3. Akti, sprejeti po postopku prenosa in nadaljnjega prenosa, se v verodostojnem jeziku ali jezikih s posebno računalniško aplikacijo priložijo dnevniku iz člena 16 tega poslovnika in skupaj z njim sestavljajo neločljivo celoto. Overovijo se s potrditveno izjavo, ki jo podpiše uradnik z nadalje prenesenimi ali prenesenimi pooblastili v skladu s členom 13(3), členom 14 in členom 15 tega poslovnika.

4. V tem poslovniku izraz „akti“ pomeni vsak akt iz člena 288 PDEU.

5. V tem poslovniku izraz „verodostojni jeziki“ pomeni vse uradne jezike Evropske unije, brez poseganja v uporabo Uredbe Sveta (ES) št. 920/2005 ( 8 ), kadar gre za akte splošne uporabe, in jezik ali jezike naslovnikov v drugih primerih.

ODDELEK 4

Priprava in izvajanje odločitev komisije

Člen 18

Skupine, sestavljene iz članov Komisije

Skupine, sestavljene iz članov Komisije, prispevajo h koordinaciji in pripravi dela Komisije v skladu s političnimi smernicami in mandatom, ki jih je določil predsednik.

Člen 19

Kabineti in odnosi s službami

1. Člani Komisije imajo svoj kabinet (osebne sodelavce) za pomoč pri svojem delu in pri pripravi odločitev Komisije. Pravila glede sestave in delovanja kabinetov določi predsednik.

2. Član Komisije ob upoštevanju načel, ki jih je določil predsednik, potrdi ureditev dela s službami, za katere je odgovoren. S tako ureditvijo se podrobno opredeli zlasti način dajanja navodil člana Komisije zadevnim službam, od katerih redno dobiva vse informacije, ki so povezane z njegovim področjem dejavnosti in potrebne za izvajanje njegovih pristojnosti.

Člen 20

Generalni sekretar

1. Generalni sekretar pomaga predsedniku, tako da Komisija uresniči prednostne naloge, ki jih je določila v okviru političnih smernic, kakor jih je določil predsednik.

2. Generalni sekretar pomaga pri zagotavljanju politične skladnosti, tako da organizira potrebno koordinacijo med službami od samega začetka pripravljalnih faz v skladu, med drugim, s členom 23 tega poslovnika.

Skrbi za kakovost vsebine in upoštevanje pravil glede oblike dokumentov, predloženih Komisiji, ter s tem prispeva k njihovi skladnosti z načeli subsidiarnosti in sorazmernosti, zunanjimi obveznostmi, medinstitucionalnimi vidiki ter komunikacijsko strategijo Komisije.

3. Generalni sekretar pomaga predsedniku pri pripravi dela in izvedbi sej Komisije.

Prav tako pomaga predsednikom skupin, ki jih sestavljajo člani Komisije in so bile ustanovljene v skladu s členom 3(4) tega poslovnika, pri pripravi in izvedbi njihovih sej. Za te skupine opravlja naloge sekretariata.

4. Generalni sekretar zagotavlja izvajanje postopkov odločanja in skrbi za izvajanje odločitev iz člena 4 tega poslovnika.

Razen v izjemnih primerih sprejema zlasti potrebne ukrepe za zagotavljanje, da se akti Komisije uradno sporočijo in objavijo v Uradnem listu Evropske unije ter da se dokumenti Komisije in njenih služb pošljejo drugim institucijam Evropske unije in nacionalnim parlamentom.

Odgovoren je za razpošiljanje pisnih informacij, ki jih želijo člani Komisije posredovati drugim članom.

5. Generalni sekretar skrbi za uradne odnose z drugimi institucijami Evropske unije, ob upoštevanju odločitev Komisije, da katere koli naloge izvaja sama ali jih dodeli svojim članom ali službam.

Pri tem s koordinacijo med službami skrbi za zagotavljanje splošne usklajenosti v postopkih, ki vključujejo druge institucije.

6. Generalni sekretar skrbi za ustrezno obveščanje Komisije o napredku v notranjih in medinstitucionalnih postopkih.

POGLAVJE II

SLUŽBE KOMISIJE

Člen 21

Sestava služb

Komisija za pripravo in izvedbo svojega dela ter uresničevanje svojih prednostnih nalog in političnih smernic, ki jih je določil predsednik, oblikuje administrativno službo, ki je razdeljena na generalne direktorate in enakovredne službe.

Generalni direktorati in enakovredne službe se načeloma delijo na direktorate, direktorati pa na enote.

Člen 22

Uvedba posebnih funkcij in začasnih teles

V posebnih primerih lahko predsednik uvede posebne funkcije in začasna telesa za obravnavo posebnih zadev ter določi njihove naloge in ureditev delovanja.

Člen 23

Sodelovanje in koordinacija med službami

1. Za zagotovitev učinkovitega dela Komisije službe tesno sodelujejo in se med seboj usklajujejo vse od začetka priprav ali izvajanja odločitev.

2. Služba, pristojna za pripravo pobude, od samega začetka pripravljalnih faz skrbi za zagotovitev učinkovite koordinacije med vsemi službami, ki imajo pravni interes za pobudo glede na področje njihovih pooblastil in pristojnosti ali glede na naravo zadeve.

3. Pred predložitvijo dokumenta Komisiji se pristojna služba pravočasno posvetuje s službami, ki imajo pravni interes v zvezi z osnutkom, v skladu s pravili za izvajanje.

4. Posvetovanje s pravno službo je obvezno pri vseh osnutkih aktov in predlogih pravnih aktov ter vseh dokumentih, ki imajo lahko pravne posledice.

Posvetovanje s pravno službo je vedno potrebno za začetek postopkov odločanja iz členov 12, 13 in 14 tega poslovnika, razen za odločitve glede standardnih aktov, ki jih je pravna služba že predhodno odobrila (ponavljajoči se akti). Posvetovanje s pravno službo ni potrebno za akte iz člena 15 tega poslovnika.

5. Posvetovanje z generalnim sekretariatom je obvezno za vse pobude

—

ki morajo biti odobrene po ustnem postopku, brez poseganja v posamezna kadrovska vprašanja, ali

—

ki so političnega pomena ali

—

ki so vključene v letni delovni program Komisije in v veljavni programski instrument ali

—

ki se nanašajo na institucionalne vidike ali

—

za katere je potrebna ocena učinka ali javna razprava,

pa tudi za vsa skupna stališča ali pobude, ki bi Komisijo lahko obvezovali do drugih institucij ali organov.

▼M14

5a. Posvetovanje z Generalnim direktoratom za gospodarske in finančne zadeve je obvezno za vse pobude, ki se nanašajo ali lahko vplivajo na rast, konkurenčnost ali gospodarsko stabilnost v Evropski uniji ali euroobmočju.

6. Razen pri aktih iz člena 15 tega poslovnika je posvetovanje z generalnim direktoratom, pristojnim za proračun, ter generalnim direktoratom, pristojnim za kadrovske zadeve in varnost, obvezno pri vseh dokumentih, ki imajo lahko proračunske ali finančne oziroma kadrovske ali administrativne posledice. Enako velja, kadar je to potrebno, za službo, pristojno za boj proti goljufijam.

7. Pristojna služba si prizadeva sestaviti tak predlog, ki bi dobil soglasje služb, s katerimi se posvetuje. Brez poseganja v določbe člena 12 tega poslovnika mora v primeru nesoglasja predlogu priložiti mnenja teh služb.

POGLAVJE III

NADOMEŠČANJE

Člen 24

Nemoteno delovanje

Člani Komisije in službe poskrbijo za vse potrebne ukrepe za zagotovitev nemotenega delovanja v skladu z določbami, ki jih je v ta namen sprejela Komisija ali predsednik.

Člen 25

Nadomeščanje predsednika

Kadar predsednik ne more opravljati svojih funkcij, ga nadomešča eden od podpredsednikov ali članov po vrstnem redu, ki ga določi predsednik.

Člen 26

Nadomeščanje generalnega sekretarja

Kadar generalni sekretar ne more opravljati svojih funkcij ali kadar je delovno mesto generalnega sekretarja nezasedeno, njegove funkcije opravlja prisotni namestnik generalnega sekretarja v najvišjem razredu in, v primeru več oseb v istem razredu, z najdaljšim stažem v razredu ter, v primeru enakega staža, tisti, ki je najstarejši, ali uradnik, ki ga imenuje Komisija.

Kadar namestnik generalnega sekretarja ni prisoten ali Komisija ni imenovala uradnika za namestnika, ga nadomešča prisotni podrejeni uradnik v najvišji funkcionalni skupini, z najvišjim razredom znotraj te skupine in, v primeru več oseb v istem razredu, z najdaljšim stažem v razredu ter, v primeru enakega staža, tisti, ki je najstarejši.

Člen 27

Nadomeščanje hierarhično nadrejenih

1. Kadar generalni direktor ne more opravljati svojih funkcij ali kadar je delovno mesto generalnega direktorja nezasedeno, njegove funkcije opravlja prisotni namestnik generalnega direktorja v najvišjem razredu in, v primeru več oseb v istem razredu, z najdaljšim stažem v razredu ter, v primeru enakega staža, tisti, ki je najstarejši, ali uradnik, ki ga imenuje Komisija.

Kadar namestnik generalnega direktorja ni prisoten ali Komisija ni imenovala uradnika za namestnika, njegove funkcije opravlja prisotni podrejeni uradnik v najvišji funkcionalni skupini, z najvišjim razredom znotraj te skupine in, v primeru več oseb v istem razredu, z najdaljšim stažem v razredu ter, v primeru enakega staža, tisti, ki je najstarejši.

2. Kadar vodja enote ne more opravljati svojih funkcij ali kadar je delovno mesto vodje enote nezasedeno, njegove funkcije opravlja namestnik vodje enote ali uradnik, ki ga imenuje generalni direktor.

Kadar namestnik vodje enote ni prisoten ali generalni direktor ni imenoval uradnika za namestnika, njegove funkcije opravlja prisotni podrejeni uradnik v najvišji funkcionalni skupini, z najvišjim razredom znotraj te skupine in, v primeru več oseb v istem razredu, z najdaljšim stažem v razredu ter, v primeru enakega staža, tisti, ki je najstarejši.

3. Kadar katera koli druga hierarhično nadrejena oseba ne more opravljati svojih funkcij ali je zadevno delovno mesto nezasedeno, njene funkcije opravlja uradnik, ki ga imenuje generalni direktor v dogovoru s pristojnim članom Komisije. Če namestnik ni bil imenovan, zadevne funkcije opravlja prisotni podrejeni uradnik v najvišji funkcionalni skupini, z najvišjim razredom znotraj te skupine in, v primeru več oseb v istem razredu, z najdaljšim stažem v razredu ter, v primeru enakega staža, tisti, ki je najstarejši.

POGLAVJE IV

KONČNE DOLOČBE

Člen 28

Komisija po potrebi določi pravila za izvajanje tega poslovnika.

Komisija lahko sprejme dodatne ukrepe v zvezi z delovanjem Komisije in njenih služb glede na tehnološki in informacijski napredek.

Člen 29

Ta poslovnik začne veljati dan po objavi v Uradnem listu Evropske unije.

▼B

PRILOGA

KODEKS RAVNANJA ZA OSEBJE EVROPSKE KOMISIJE V STIKIH Z JAVNOSMI

Kakovost storitev

Komisija in njeno osebje imata dolžnost, da služita interesu Skupnosti in tako javnemu interesu.

Javnost upravičeno pričakuje kakovost storitev ter odprto, dostopno in pravilno vodeno administracijo.

Kakovost storitev pomeni, da morata biti Komisija in njeno osebje prijazna, objektivna in nepristranska.

Namen

Da bi Komisija izpolnila svoje dolžnosti glede ravnanja, zlasti v stikih z javnostmi, se zavezuje, da bo spoštovala standarde ravnanja, določene s tem kodeksom, in se po njih ravnala pri svojem vsakdanjem delu.

Področje veljavnosti

Kodeks zavezuje celotno osebje, za katero veljajo Kadrovski predpisi za uradnike in Pogoji za zaposlitev drugih uslužbencev Evropskih skupnosti (v nadaljevanju: „kadrovski predpisi“) ter druge določbe v zvezi z odnosi med Komisijo in njenim osebjem, ki veljajo za uradnike in druge uslužbence Evropskih skupnosti. Vendar pa bi se pri svojem vsakdanjem delu po kodeksu morale ravnati tudi osebe, zaposlene na podlagi pogodb zasebnega prava, strokovnjaki, premeščeni iz nacionalnih državnih služb, pripravniki itd., ki delajo za Komisijo.

Odnose med Komisijo in njenim osebjem urejajo izključno kadrovski predpisi.

1. SPLOŠNA NAČELA

V svojih stikih z javnostmi Komisija spoštuje naslednja splošna načela:

Zakonitost

Komisija deluje v skladu z zakonom in uporablja pravila in postopke, določene v zakonodaji Skupnosti.

Nediskriminacija in enaka obravnava

Komisija spoštuje načelo nediskriminacije in zlasti zagotavlja enako obravnavo posameznikov na podlagi državljanstva, spola, rase ali narodnosti, vere ali prepričanja, invalidnosti, starosti ali spolne usmerjenosti. Razlike v obravnavi podobnih primerov morajo biti izrecno upravičene z značilnostmi posameznega primera.

Sorazmernost

Komisija zagotavlja, da so sprejeti ukrepi sorazmerni z želenim ciljem.

Komisija bo zlasti zagotovila, da uporaba tega kodeksa v nobenem primeru ne privede do administrativnih ali proračunskih obremenitev, ki niso sorazmerne s pričakovano koristjo.

Doslednost

Komisija je pri svojem ravnanju dosledna in ravna po svojih običajnih postopkih. Vsaka izjema od tega načela mora biti ustrezno utemeljena.

2. NAVODILA ZA RAVNANJE

Objektivnost in nepristranskost

Osebje mora vselej ravnati objektivno in nepristransko ter v interesu Skupnosti in za javno korist. Ravnati mora neodvisno, v okviru politike, ki jo je določila Komisija, in njegovo vedenje ne sme nikoli biti podrejeno osebnim ali nacionalnim interesom oziroma političnemu pritisku.

Informacije o upravnih postopkih

Kadar želi posameznik pridobiti informacije za javnost v zvezi z upravnim postopkom Komisije, osebje zagotovi, da se informacije zagotovijo v roku, določenem za ustrezni postopek.

3. INFORMACIJE O PRAVICAH ZAINTERESIRANIH STRANK

Poslušanje vseh strank, ki imajo neposredni interes

Kadar zakonodaja Skupnosti predvideva, da je treba zainteresirane stranke poslušati, osebje zagotovi, da imajo možnost izraziti svoje stališče.

Dolžnost obrazložitve odločitev

V odločitvi Komisije morajo biti jasno navedeni razlogi, na katerih temelji, odločitev pa mora biti sporočena zadevnim osebam in strankam.

Praviloma je potrebna celovita obrazložitev odločitev. Kadar pa podrobna obrazložitev posameznih odločitev ni možna, na primer zaradi veliko oseb, na katere se nanašajo podobne odločitve, se lahko odgovori standardno. Standardni odgovori morajo vsebovati glavne razloge za odločitev. Poleg tega se podrobna obrazložitev zagotovi zainteresirani stranki, ki jo izrecno zahteva.

Dolžnost navajanja možnosti pritožbe

Kadar tako predvideva zakonodaja Skupnosti, morajo vročene odločbe jasno navesti, da je možna pritožba, in opisati način za njeno vložitev).

Kadar je to primerno, morala biti v odločitvah navedena možnost začetka sodnega postopka in/ali pritožbe pri Evropskem varuhu človekovih pravic v skladu s členoma 230 ali 195 Pogodbe o ustanovitvi Evropske skupnosti.

4. OBRAVNAVA PROŠENJ

Komisija se zavezuje, da bo na prošnje odgovarjala na najprimernejši način in v najkrajšem možnem času.

Prošnje za dokumente

Če je bil dokument že objavljen, je prosilec napoten na prodajna mesta Urada za uradne publikacije Evropskih skupnosti ali dokumentacijske ali informacijske centre, ki zagotavljajo brezplačen dostop do dokumentov, kakršni so infotočke, evropski dokumentacijski centri itd. Mnogo dokumentov je z lahkoto dostopnih tudi v elektronski obliki.

Pravila v zvezi z dostopom do dokumentov so določena v posebnem ukrepu.

Korespondenca

Vskladu s členom 21 Pogodbe o ustanovitvi Evropske skupnosti Komisija na pisma odgovarja v jeziku prvotnega pisma, pod pogojem, da je bilo napisano v enem izmed uradnih jezikov Skupnosti.

Odgovor na pismo, naslovljeno na Komisijo, se pošlje v 15 delovnih dneh od dneva, ko je pismo prejela pristojna služba Komisije. V odgovoru bi moralo biti navedeno ime pristojne osebe in način, kako se z njo vzpostavi stik.

Če odgovora ni mogoče poslati v 15 delovnih dneh in v vseh primerih, pri katerih je za odgovor potrebna dodatna obravnava, kakršno je posvetovanje med službami ali prevajanje, pristojni član osebja pošlje pismo, v katerem je naveden datum, do katerega lahko naslovnik glede na potrebno dodatno obravnavo pričakuje odgovor, upoštevaje nujnost in kompleksnost zadeve.

Če mora odgovor pripraviti druga služba kakor tista, na katero je bilo pismo prvotno naslovljeno, se prosilcu sporoči ime in službeni naslov osebe, ki ji je bilo pismo predano.

Navedena pravila ne veljajo za korespondenco, ki se utemeljeno šteje za neprimerno, ker je na primer ponavljajoča, žaljiva in/ali nesmiselna. V takem primeru si Komisija pridržuje pravico, da tako izmenjavo pisem prekine.

Telefonsko sporazumevanje

Kadar odgovarja po telefonu, se osebje predstavi ali predstavi svoj oddelek. Kadar mora nekoga poklicati nazaj, to stori čim prej.

Osebje, ki odgovarja na prošnje, zagotovi informacije o zadevah, ki so v njegovi neposredni pristojnosti, v drugih primerih pa stranko napoti k ustreznemu viru. Po potrebi stranke napoti k njegovemu nadrejenemu ali pa se z njim posvetuje, preden da neko informacijo.

Kadar se prošnje nanašajo na področja, za katera je osebje neposredno pristojno, ugotovi identiteto stranke in, preden da informacijo, preveri, ali je bila že objavljena. Če ni tako, lahko osebje presodi, da razkritje informacije ni v interesu Skupnosti. V tem primeru mora pojasniti, zakaj informacije ne more razkriti, in se po potrebi sklicevati na obveznost varovanja tajnosti, kakor določa člen 17 kadrovskih predpisov.

Kadar je to primerno, osebje zahteva pisno potrditev prošenj, ki so bile prejete po telefonu.

Elektronska pošta

Osebje na elektronsko pošto odgovarja čim prej v skladu z navodili iz razdelka o telefonskem sporazumevanju.

Kadar pa je elektronska pošta po svoji naravi enakovredna pismu, se obravnava v skladu z navodili za korespondenco in zanjo veljajo enaki roki.

Prošnje javnih občil

Za stike z javnimi občili je pristojna Služba za tisk in komunikacije. Kadar pa se prošnje javnih občil za informacije nanašajo na tehnične zadeve, lahko osebje odgovarja nanje v okviru svojih področij pristojnosti.

5. VARSTVO OSEBNIH PODATKOV IN ZAUPNIH INFORMACIJ

Komisija in njeno osebje zlasti spoštujeta:

—

pravila o varstvu zasebnosti in osebnih podatkov,

—

obveznosti iz člena 287 Pogodbe o ustanovitvi Evropske skupnosti in zlasti tiste, ki se nanašajo na poklicno tajnost,

—

pravila o tajnosti v kazenskih preiskavah,

—

zaupnost zadev, ki se obravnavajo v raznih odborih in telesih, kakor določajo člen 9 ter Prilogi II in III kadrovskih predpisov.

6. PRITOŽBE

Evropska komisija

Pritožbe, ki zadevajo morebitne kršitve načel tega kodeksa, se lahko vložijo neposredno pri generalnem sekretariatu ( 9 ) Evropske komisije, ki jih pošlje ustreznim službam.

Generalni direktor ali vodja službe pritožniku odgovori pisno v dveh mesecih. Pritožnik ima nato mesec dni časa, da od generalnega sekretarja Evropske komisije zahteva ponovno preučitev izida pritožbe. Generalni sekretar na zahtevo po ponovni preučitvi odgovori v enem mesecu.

Evropski varuh človekovih pravic

Pritožbe se lahko vložijo tudi pri evropskem varuhu človekovih pravic v skladu s členom 195 Pogodbe o ustanovitvi Evropske skupnosti in statutom evropskega varuha človekovih pravic.

PRAVILNIK KOMISIJE O VARNOSTI

Ob upoštevanju naslednjega:

(1)

Da bi razvijali dejavnosti Komisije na področjih, ki zahtevajo določeno stopnjo tajnosti, je treba vzpostaviti celovit varnostni sistem, ki se uporablja za Komisijo, ostale institucije, telesa, urade in agencije, ustanovljene zaradi ali na podlagi Pogodbe ES ali Pogodbe o Evropski uniji, države članice in tudi vse druge prejemnike tajnih podatkov Evropske unije, v nadaljnjem besedilu imenovani „tajni podatki EU“.

(2)	Za zagotavljanje učinkovitosti tako vzpostavljenega varnostnega sistema, posreduje Komisija tajne podatke EU samo tistim zunanjim telesom, ki zagotovijo, da so sprejela vse potrebne ukrepe za uporabo predpisov, ki so enakovredni temu pravilniku.

(3)

Ta pravilnik se sprejme brez poseganja v Uredbo št. 3 z dne 31. julija 1958 o izvajanju člena 24 Pogodbe o ustanovitvi Evropske skupnosti za atomsko energijo ( 10 ), v Uredbo Sveta (ES) št. 1588/90 z dne 11. junija 1990 o prenosu zaupnih podatkov na Statistični urad Evropskih skupnosti ( 11 ), in v Sklep Komisije C (95) 1510 z dne 23. novembra 1995 o zaščiti informacijskega sistema.

(4)	Varnostni sistem Komisije temelji na načelih, določenih v Sklepu Sveta 2001/264/ES z dne 19. marca 2001 o sprejetju predpisov Sveta o varovanju tajnosti ( 12 ), da bi se zagotovilo nemoteno sprejemanje odločitev v Uniji.

(5)	Komisija poudarja pomembnost pridružitve ostalih institucij predpisom in standardom varovanja tajnosti, ki so potrebni za varstvo interesov Unije in njenih držav članic.

(6)	Komisija ugotavlja potrebo po ustvarjanju lastnega koncepta varnosti ob upoštevanju vseh elementov varnosti in posebnega značaja Komisije kot institucije.

(7)	Ta pravilnik se sprejme brez poseganja v člen 255 Pogodbe in v Uredbo (ES) št. 1049/2001 Evropskega parlamenta in Sveta z dne 30. maja 2001 o dostopu javnosti do dokumentov Evropskega parlamenta, Sveta in Komisije ( 13 );

▼M3

(8)	Te določbe ne posegajo v člen 286 Pogodbe in v Uredbo Evropskega parlamenta in Sveta (ES) št. 45/2001 z dne 18. decembra 2000 o varstvu posameznikov pri obdelavi osebnih podatkov v institucijah in organih Skupnosti in o prostem pretoku takih podatkov.

Člen 1

Pravilnik Komisije o varnosti je določen v Prilogi.

Člen 2

1. Član Komisije, pristojen za varnostne zadeve, sprejme ustrezne ukrepe za zagotovitev, da pri ravnanju s tajnimi podatki EU uradniki in drugi uslužbenci Komisije spoštujejo predpise iz člena 1 znotraj Komisije, prav tako osebje, začasno dodeljeno Komisiji, pa tudi znotraj vseh prostorov Komisije, vključno z njenimi predstavništvi in uradi v Uniji in njenimi delegacijami v tretjih državah in izvajalci izven Komisije.

▼M4

Kadar naročilo ali sporazum o donaciji med Komisijo in zunanjim izvajalcem ali upravičencem vključuje ravnanje s tajnimi podatki EU v prostorih izvajalca ali upravičenca, so ustrezni ukrepi, ki jih mora sprejeti navedeni zunanji izvajalec ali upravičenec, s katerimi se zagotovi izpolnjevanje pravil iz člena 1, sestavni del naročila ali sporazuma o donaciji.

2. Državam članicam, drugim institucijam, telesom, uradom in agencijam, ustanovljenim na podlagi Pogodb, je dovoljeno prejemati tajne podatke EU pod pogojem, da zagotovijo, da znotraj njihovih služb in prostorov pri ravnanju s tajnimi podatki EU spoštujejo predpise, ki so enakovredni tistim iz člena 1, predvsem:

(a)

člani stalnih predstavništev držav članic v Evropski uniji kot tudi člani državnih delegacij, ki prisostvujejo sestankom Komisije ali njenih teles, ali ki sodelujejo v drugih dejavnostih Komisije,

(b)

drugi predstavniki iz državnih uprav držav članic, ki upravljajo s tajnimi podatki EU, bodisi da delujejo na ozemlju držav članic ali v tujini,

(c)

zunanji izvajalci in začasno dodeljeno osebje, ki upravlja s tajnimi podatki EU.

Člen 3

Tretjim državam, mednarodnim organizacijam in drugim telesom je dovoljeno prejemati tajne podatke EU pod pogojem, da zagotovijo, da se ob upravljanju s takimi podatki spoštuje predpise, ki so enakovredni tistim iz člena 1.

Člen 4

V skladu s temeljnimi načeli in minimalnimi varnostnimi standardi, ki jih vsebuje Del I Priloge, lahko član Komisije, pristojen za varnostne zadeve, sprejme ukrepe v skladu z Delom II Priloge.

Člen 5

Z dnem začetka njegove uporabe ta pravilnik nadomesti:

(a)

Sklep Komisije C(94) 3282 z dne 30. novembra 1994 o varnostnih ukrepih, ki se uporabljajo za tajne podatke, ki nastajajo ali se prenašajo v zvezi z dejavnostmi Evropske unije;

(b)

Sklep Komisije C(99) 423 z dne 25. februarja 1999 o postopkih, s katerimi se uradnikom in drugim uslužbencem Evropske Komisije lahko dovoli dostop do tajnih podatkov, ki jih ima Komisija.

Člen 6

Od dneva začetka uporabe tega pravilnika se vsi tajni podatki, ki jih do tega datuma poseduje Komisija, razen tajnih podatkov Euratoma:

(a)

če jih je ustvarila Komisija, praviloma štejejo za ponovno določene kot „ ►M2 RESTREINT UE ◄ “, razen če jim njihov avtor do 31. januarja 2002 ne določi druge stopnje tajnosti. V takem primeru avtor obvesti vse naslovljence zadevnega dokumenta;

(b)

obdržijo svojo prvotno stopnjo tajnosti, če jo določijo avtorji izven Komisije, in se tako obravnavajo kot tajni podatki EU na enakovredni ravni, razen če se avtor ne strinja z odvzemom stopnje tajnosti ali določitvijo nižje stopnje tajnosti.

PRILOGA

PRAVILNIK KOMISIJE O VARNOSTI

Vsebina
DEL I:	TEMELJNA NAČELA IN MINIMALNI STANDARDI VARNOSTI
1.	UVOD
2.	SPLOŠNA NAČELA
3.	TEMELJI VARNOSTI
4.	NAČELA VAROVANJA PODATKOV
4.1	Cilji
4.2	Definicije
4.3	Določanje stopenj tajnosti
4.4	Cilji varnostnih ukrepov
5.	ORGANIZACIJA VARNOSTI
5.1	Skupni minimalni standardi
5.2	Organizacija
6.	VARNOST OSEBJA
6.1	Varnostno preverjanje osebja
6.2	Evidenca varnostnega preverjanja osebja
6.3	Navodila za zagotavljanje varnosti osebju
6.4	Odgovornosti vodstvenega osebja
6.5	Varnostni status osebja
7.	MATERIALNA VARNOST
7.1	Potreba po varovanju
7.2	Preverjanje
7.3	Varnost zgradb
7.4	Načrt ukrepov ob nepredvidljivih dogodkih
8.	VAROVANJE PODATKOV
9.	UKREPI PROTISABOTAŽAM IN NADZOR NAD DRUGIMI OBLIKAMI NAKLEPNEGA POŠKODOVANJA
10.	POSREDOVANJE TAJNIH PODATKOV TRETJIM DRŽAVAM ALI MEDNARODNIM ORGANIZACIJAM
DEL II:	ORGANIZACIJA VARNOSTI V KOMISIJI
11.	ČLAN KOMISIJE, PRISTOJEN ZA VARNOSTNE ZADEVE
12.	SVETOVALNA SKUPINA ZA VARNOSTNO POLITIKO KOMISIJE
13.	VARNOSTNI ODBOR KOMISIJE
14.	►M3 DIREKTORAT ZA VARNOST KOMISIJE ◄
15.	VARNOSTNI PREGLEDI
16.	DOLOČANJE STOPENJ TAJNOSTI, VARNOSTNI OZNAČEVALNIKI IN OZNAKE
16.1	Stopnje tajnosti
16.2	Varnostni označevalniki
16.3	Oznake
16.4	Namestitevstopenj tajnosti
16.5	Namestitev varnostnih označevalnikov
17.	MERILA ZA DOLOČANJE STOPENJ TAJNOSTI
17.1	Splošno
17.2	Uporabastopenj tajnosti
17.3	Zniževanje in odprava stopenj tajnosti
18.	MATERIALNA VARNOST
18.1	Splošno
18.2	Varnostne zahteve
18.3	Ukrepi materialne varnosti
18.3.1	Varnostna območja
18.3.2	Upravno območje
18.3.3	Vhodni in izhodni nadzor
18.3.4	Varnostni obhodiin prostori-trezorji
18.3.5	Varnostni vsebniki in prostori-trezorji
18.3.6	Ključavnice
18.3.7	Nadzor nad ključi in kombinacijami
18.3.8	Naprave za odkrivanje dejavnosti nepooblaščenih oseb
18.3.9	Odobrena oprema
18.3.10	Fizično varovanje fotokopirnih strojev in telefaksov
18.4	Varovanje pred vpogledom in pred prisluškovanjem
18.4.1	Varovanje pred vpogledom
18.4.2	Varovanje pred prisluškovanjem
18.4.3	Vnos elektronske in snemalne opreme
18.5	Tehnično varovana območja
19.	SPLOŠNA PRAVILA O NAČELU POTREBE VEDETI IN VARNOSTNEM PREVERJANJU OSEBJA EU
19.1	Splošno
19.2	Posebna pravilao dostopu do podatkov ►M2 TRES SECRET UE/EU TOP SECRET ◄
19.3	Posebna pravila o dostopu do podatkov ►M2 SECRET UE ◄ in ►M2 CONFIDENTIEL UE ◄
19.4	Posebna pravila o dostopu do podatkov ►M2 RESTREINT UE ◄
19.5	Prenosi
19.6	Posebna navodila
20.	POSTOPEK VARNOSTNEGA PREVERJANJA URADNIKOV IN DRUGIH USLUŽBENCEV KOMISIJE
21.	PRIPRAVA, POŠILJANJE, PRENOS, VARNOST KURIRJEV TER DODATNE KOPIJE ALI PREVODI IN IZVLEČKI IZ TAJNIH DOKUMENTOV EU
21.1	Priprava
21.2	Pošiljanje
21.3	Prenos tajnih dokumentov EU
21.3.1	Pakiranje, potrdila
21.3.2	Prenos znotraj zgradbe ali skupine zgradb
21.3.3	Prenos znotraj države
21.3.4	Prenos iz ene države v drugo
21.3.5	Prenos dokumentov ►M2 RESTREINT UE ◄
21.4	Varnost kurirjev
21.5	Elektronska in druga sredstva tehničnega prenosa
21.6	Dodatne kopije in prevodi ter izvlečki iz tajnih dokumentov EU
22.	REGISTRSKI URADI, INVENTURNI POPISI, PREVERJANJA, ARHIVIRANJE IN UNIČENJE TAJNIH PODATKOV EU
22.1	Lokalni registrski uradi za tajne podatke EU
22.2	Registrski urad ►M2 TRES SECRET UE/EU TOP SECRET ◄
22.2.1	Splošno
22.2.2	Centralni registrski urad ►M2 TRES SECRET UE/EU TOP SECRET ◄
22.2.3	Podregistrski uradi ►M2 TRES SECRET UE/EU TOP SECRET ◄
22.3	Inventurni popisi in preverjanja tajnih dokumentov EU
22.4	Arhiviranje tajnih dokumentov EU
22.5	Uničenje tajnih dokumentov EU
22.6	Uničenjev nujnih primerih
23.	VARNOSTNI UKREPI ZA POSEBNE SESTANKE, KI POTEKAJO IZVEN PROSTOROV KOMISIJE IN VKLJUČUJEJO TAJNE PODATKE EU
23.1	Splošno
23.2	Pristojnosti
23.2.1	►M3 Direktorat za varnost Komisije ◄
23.2.2	Uradnik, zadolžen za varnost sestanka (MSO)
23.3	Varnostni ukrepi
23.3.1	Varnostna območja
23.3.2	Dovolilnice
23.3.3	Nadzor fotografske in avdio opreme
23.3.4	Preverjanje aktovk, prenosnih računalnikov in paketov
23.3.5	Tehnična varnost
23.3.6	Dokumenti delegacij
23.3.7	Varna hramba dokumentov
23.3.8	Pregled pisarniških prostorov
23.3.9	Odstranjevanje gradiv v zvezi s tajnimi podatki EU
24.	KRŠITVE VARNOSTI IN RAZKRITJE TAJNIH PODATKOV EU
24.1	Opredelitve pojmov
24.2	Poročanje o kršitvah varnosti
24.3	Pravna sredstva
25.	VAROVANJE TAJNIH PODATKOV EU V SISTEMIH INFORMACIJSKE TEHNOLOGIJE IN V KOMUNIKACIJSKIH SISTEMIH
25.1	Uvod
25.1.1	Splošno
25.1.2	Ogroženost in ranljivost sistemov
25.1.3	Glavni namen varnostnih ukrepov
25.1.4	Opredelitev varnostnih zahtev, ki so specifične za sistem (SSRS)
25.1.5	Načini varnostnega delovanja
25.2	Opredelitve pojmov
25.3	Pristojnosti na področju varnosti
25.3.1	Splošno
25.3.2	Organ za akreditacijo varnosti (SAA)
25.3.3	Organ INFOSEC (IA)
25.3.4	Imetnik tehničnih sistemov (TSO)
25.3.5	Imetnik podatkov(IO)
25.3.6	Uporabniki
25.3.7	Usposabljanje INFOSEC
25.4	Netehnični varnosti ukrepi
25.4.1	Varnost osebja
25.4.2	Materialna varnost
25.4.3	Nadzor dostopa do sistema
25.5	Tehnični varnostni ukrepi
25.5.1	Varnost podatkov
25.5.2	Nadzor in vknjižba podatkov
25.5.3	Ravnanje z računalniškimi nosilci podatkov in nadzor nad njimi
25.5.4	Odprava stopenj tajnosti in uničenje računalniških nosilcev podatkov
25.5.5	Varnost komunikacij
25.5.6	Varnost v zvezi z namestitvijo in sevanjem
25.6	Varnost med obdelavo
25.6.1	Varnostni postopki delovanja (SecOPs)
25.6.2	Varovanje programske opreme/upravljanje konfiguracije
25.6.3	Preverjanje prisotnosti škodljive programske opreme/računalniških virusov
25.6.4	Vzdrževanje
25.7	Naročila
25.7.1	Splošno
25.7.2	Akreditacija
25.7.3	Ocenjevanje in certificiranje
25.7.4	Redno preverjanje varnostnih značilnosti za kontinuirano akreditacijo
25.8	Začasna ali občasna uporaba
25.8.1	Varnost mikroračunalnikov/osebnih računalnikov
25.8.2	Uporaba zasebne opreme IT za delo v službene namene Komisije
25.8.3	Uporaba opreme IT, ki je v lasti izvajalca ali se dobavlja na državni ravni, za delo v službene namene Komisije
26.	POSREDOVANJE TAJNIH PODATKOV TRETJIM DRŽAVAM ALI MEDNARODNIM ORGANIZACIJAM
26.1.1	Načela posredovanja tajnih podatkov EU
26.1.2	Stopnje
26.1.3	Varnostna ureditev
27.	SKUPNI MINIMALNI STANDARDI O INDUSTRIJSKI VARNOSTI
27.1	Uvod
27.2	Opredelitve
27.3	Organizacija
27.4	Tajna naročila in sporazumi o donacijah
27.5	Obiski
27.6	Prenos in prevoz tajnih podatkov EU
DODATEK 1:	Primerjava stopenj tajnosti na področju državne varnosti
DODATEK 2:	Navodilo za uporabo stopenj tajnosti
DODATEK 3:	Smernice za posredovanje tajnih podatkov EU tretjim državam ali mednarodnim organizacijam: Stopnja sodelovanja 1
DODATEK 4:	Smernice za posredovanje tajnih podatkov EU tretjim državam ali mednarodnim organizacijam: Stopnja sodelovanja 2
DODATEK 5:	Smernice za posredovanje tajnih podatkov EU tretjim državam ali mednarodnim organizacijam: Stopnja sodelovanja 3
DODATEK 6:	Seznam kratic

DEL I: TEMELJNA NAČELA IN MINIMALNI STANDARDI VARNOSTI

1. UVOD

Ta pravilnik določa temeljna načela in minimalne standarde varnosti, ki jih mora Komisija spoštovati na ustrezen način v vseh svojih službah, kakor tudi vsi prejemniki tajnih podatkov EU, tako da je varnost zagotovljena in da je vsak lahko prepričan, da je vzpostavljen skupni standard varovanja.

2. SPLOŠNA NAČELA

Varnostna politika Komisije predstavlja sestavni del njene splošne notranje politike upravljanja in tako temelji na načelih, ki urejajo njeno splošno politiko.

Ta načela so načelo spoštovanja predpisov, načelo transparentnosti, načelo odgovornosti in načelo subsidiarnosti (sorazmernost).

Načelo spoštovanja predpisov pomeni, da se pri opravljanju varnostnih funkcij deluje v okviru pravnega sistema. Pomeni tudi, da morajo pristojnosti na področju varnosti temeljiti na ustreznih predpisih. Določbe uslužbenskih predpisov se v celoti uporabljajo, predvsem njihov člen 17 o dolžnosti osebja v zvezi s podatki Komisije, in njihov Naslov VI o disciplinskih ukrepih. Nadalje pomeni, da je treba kršitve varnosti v okviru pristojnosti Komisije obravnavati na način, ki je skladen s politiko Komisije o uresničevanju disciplinske odgovornosti in z njeno politiko o sodelovanju z državami članicami na področju kazenskega prava.

Načelo preglednosti pomeni jasnost varnostnih predpisov in določb o ravnotežju med različnimi službami in različnimi področji (fizično varovanje tajnih podatkov itd.) in potrebo po dosledni in organizirani politiki varnostnega ozaveščanja. Pomeni tudi potrebo po jasnih smernicah za izvajanje varnostnih ukrepov.

Načelo odgovornosti pomeni, da so pristojnosti na področju varnosti jasno določene. Poleg tega pomeni potrebo po rednem preverjanju, če se te pristojnosti pravilno uresničujejo.

Načelo subsidiarnosti ali sorazmernosti pomeni, da se varnost organizira na najnižji možni ravni in kolikor je mogoče blizu generalnih direktoratov in služb Komisije. Pomeni tudi, da se varnostne dejavnosti omejijo samo na tiste elemente, ki jo zares potrebujejo. Prav tako pomeni, da so varnostni ukrepi sorazmerni z interesi, ki jih je treba varovati, in z dejanskim ali možnim ogrožanjem teh interesov, pri čemer zagotavljajo varovanje, pri katerem so možne čim manjše motnje.

3. TEMELJI VARNOSTI

Temelji zanesljive varnosti so:

(a)

V vsaki državi članici organi, pristojni za

zbiranje in shranjevanje obveščevalnih podatkov o vohunstvu, sabotažah, terorizmu ter drugih subverzivnih dejavnostih, in

posredovanje podatkov in nasvetov glede narave ogrožanja varnosti in o sredstvih varovanja pred njimi svojim vladam in preko njih Komisiji.

(b)

V vsaki državi članici in v Komisiji tehnični organ INFOSEC (IA), pristojen za sodelovanje z zadevnim varnostnim organom, za posredovanje podatkov in nasvetov v zvezi z ogrožanjem varnosti iz tehničnega vidika in o sredstvih varovanja;

(c)

Redno sodelovanje med službami vlad in pristojnimi službami Evropskih institucij, da bi, če je to primerno, določili in priporočili:

katere osebe, podatke in vire je treba varovati in

skupne standarde varovanja.

(d)

Tesno sodelovanje med ►M3 Direktorat za varnost Komisije ◄ in varnostnimi službami drugih evropskih institucij in z Uradom za varnost NATO (NOS).

4. NAČELA VAROVANJA PODATKOV

4.1 Cilji

Cilji varovanja tajnih podatkov so:

(a)

varovati tajne podatke EU pred vohunstvom, ogrožanjem ali nedovoljenim razkritjem;

(b)

varovati podatke EU, s katerimi se upravlja v komunikacijskih in informacijskih sistemih ter omrežjih, pred ogrožanjem njihove tajnosti, celovitosti in razpoložljivosti;

(c)

varovati prostore Komisije, v katerih se nahajajo podatki EU, pred sabotažami in naklepnim poškodovanjem;

(d)

v primeru napake oceniti povzročeno škodo, omejiti njene posledice in sprejeti potrebne sanacijske ukrepe.

4.2 Definicije

V tem pravilniku imajo posamezni izrazi naslednji pomen:

(a)

Izraz „tajni podatki EU“ pomeni vse podatke in gradivo, katerih nedovoljeno razkritje bi lahko v različni meri škodovalo interesom EU ali eni ali več državam članicam, bodisi da taki podatki izvirajo znotraj EU ali prihajajo iz držav članic, tretjih držav ali mednarodnih organizacij.

(b)

Izraz „dokument“ pomeni vsako pismo, zapis, zabeležko, poročilo, memorandum, signal/sporočilo, skico, fotografijo, diapozitiv, film, karto/zemljevid, grafični prikaz, načrt, zvezek/beležnico, matrico, kopirni papir, trak pisalnega stroja ali tiskalnika, magnetni trak, kaseto, računalniško disketo, CD ROM ali druge materialne nosilce shranjenih podatkov.

(c)

Izraz „gradivo“ pomeni „dokument“, kot je opredeljen v (b) in tudi vsak del opreme, ki je bodisi že bil izdelan ali je v postopku izdelave.

(d)

Izraz „potreba vedeti“ pomeni potrebo uradnika ali uslužbenca po dostopu do tajnih podatkov EU, da bi lahko opravljal svoje delo ali nalogo.

(e)

„Pooblastilo“ pomeni sklep ►M3 direktor Direktorata za varnost Komisije ◄ , da odobri posamezen dostop do tajnih podatkov EU do določene stopnje na podlagi pozitivnega rezultata varnostnega pregleda (preverjanja), ki ga izvede organ državne varnosti v skladu z notranjo zakonodajo.

(f)

Izraz „stopnja tajnosti“ pomeni določitev ustrezne stopnje varnosti podatkom, katerih nedovoljeno razkritje bi lahko v določeni meri škodilo interesom Komisije ali držav članic.

(g)

Izraz „znižanje stopnje tajnosti“ (déclassement) pomeni uvrstitev v nižjo stopnjo tajnosti.

(h)

Izraz „odprava stopnje tajnosti“ (déclassification) pomeni odpravo kakršnekoli stopnje tajnosti.

(i)

Izraz „oseba izvora“ pomeni ustrezno pooblaščenega avtorja tajnega dokumenta. Znotraj Komisije lahko vodje služb pooblastijo svoje osebje, da določa tajne podatke EU.

(j)

Izraz „službe Komisije“ pomeni službe Komisije, vključno s kabineti, na vseh delovnih mestih, vključno s skupnim raziskovalnim centrom, predstavništvi in uradi v Uniji ter delegacijami v tretjih državah.

4.3 Določanje stopenj tajnosti

(a)

Na področju tajnosti so pri izboru podatkov in gradiva, ki jih/ga je treba zavarovati in pri oceni zahtevane stopnje varovanja potrebni skrben pristop in izkušnje. Temeljnega pomena je, da stopnja varovanja ustreza kritični varnostni stopnji vsakega posameznega podatka in gradiva, ki ga je treba zavarovati. Da bi zagotovili nemoten pretok podatkov, se sprejmejo ukrepi za izognitev tako njihovi previsoki kot prenizki stopnji tajnosti.

(b)

Sistem določanja stopenj tajnosti je sredstvo, ki omogoča uveljavitev teh načel; pri načrtovanju in organiziranju metod za boj proti vohunstvu, sabotažam, terorizmu in drugim nevarnostim se upošteva podoben sistem določanja stopenj tajnosti, tako da je najpomembnejšim prostorom, v katerih so shranjeni tajni podatki, in najobčutljivejšim točkam znotraj njih zagotovljena največja mera varovanja.

(c)

Za določanje stopenj tajnosti podatkov je odgovorna izključno oseba izvora podatka.

(d)

Stopnja tajnosti lahko temelji izključno na vsebini podatka.

(e)

Kadar se različni podatki povežejo v celoto, velja za celoto stopnja tajnosti, ki je tako visoka kot najvišja stopnja posameznega podatka. Zbirka podatkov pa se lahko uvrsti višje kot njeni sestavni deli.

(f)

Stopnje tajnosti se določijo samo takrat, kadar je potrebno in samo za tako dolgo kot je potrebno.

4.4 Cilji varnostnih ukrepov

Varnostni ukrepi:

(a)

veljajo za vse osebe, ki imajo dostop do tajnih podatkov, za nosilce tajnih podatkov, za vse prostore, v katerih se nahajajo taki podatki in za pomembne objekte;

(b)

so načrtovani tako, da odkrivajo osebe, ki bi s svojim položajem lahko ogrozile varnost tajnih podatkov in pomembnih objektov, v katerih se tajni podatki nahajajo, in da omogočijo njihovo izključitev ali odstranitev;

(c)

vsem nepooblaščenim osebam onemogočajo dostop do tajnih podatkov ali do objektov, v katerih se ti nahajajo;

(d)

zagotavljajo, da se tajni podatki razširjajo samo na podlagi „potrebe vedeti“, ki je temeljno načelo vseh vidikov v zvezi z varnostjo;

(e)

zagotavljajo celovitost (t. j. preprečujejo ponarejanje ali nedovoljeno spreminjanje ali nedovoljen izbris) in razpoložljivost (t. j. da dostop ni prepovedan tistim, ki ga potrebujejo in so zanj pooblaščeni) vseh podatkov, bodisi tajnih ali ne, in še zlasti takih podatkov, ki so shranjeni, obdelani ali se prenašajo v elektromagnetni obliki.

5. ORGANIZACIJA VARNOSTI

5.1 Skupni minimalni standardi

Komisija zagotovi, da vsi prejemniki tajnih podatkov EU upoštevajo skupne minimalne standarde varnosti znotraj institucije in na podlagi njene pristojnosti, t. j. vse službe in izvajalci, tako da se tajni podatki EU lahko posredujejo z zaupanjem, da se bo z njimi ravnalo enako skrbno. Taki minimalni standardi vključujejo merila za preverjanje varnostne zanesljivosti osebja in postopke za varovanje tajnih podatkov EU.

Komisija omogoči dostop do tajnih podatkov EU zunanjim telesom samo pod pogojem, da zagotovijo, da se pri ravnanju s tajnimi podatki EU upoštevajo predpisi, ki so najmanj enakovredni tem minimalnim standardom.

▼M4

Taki minimalni standardi se uporabljajo tudi, kadar Komisija na industrijske ali druge subjekte z naročilom ali sporazumom o donaciji prenese naloge, ki vključujejo, imajo za posledico in/ali vsebujejo zaupne podatke EU: ti skupni minimalni standardi so navedeni v oddelku 27 dela II.

5.2 Organizacija

Varnost v okviru Komisije je organizirana na dveh ravneh:

(a)

na ravni Komisije kot celote je ►M3 Direktorat za varnost Komisije ◄ s Službo za akreditacijo varnosti (SAA), ki deluje tudi kot Kripto služba (CrA) ter kot TEMPEST služba, in s službo INFOSEC (IA) in z eno ali več centralnimi registraturami tajnih podatkov EU, vsak z enim ali več registrskim nadzornim uradnikom (RCO).

(b)

na ravni služb Komisije je za varnost odgovoren eden ali več lokalnih varnostnih uradnikov (LSO), eden ali več varnostnih uradnikov za centralno informatiko (CISO), lokalni varnostni uradniki za informatiko (LISO) in lokalne registrature za tajne podatke EU z enim ali več registrskimi nadzornimi uradniki.

(c)

Centralne varnostne službe operativno usmerjajo lokalne varnostne službe.

6. VARNOST OSEBJA

6.1 Varnostno preverjanje osebja

Vse osebe, ki potrebujejo dostop do podatkov, določenih kot ►M2 CONFIDENTIEL UE ◄ ali z višjo stopnjo, morajo biti ustrezno varnostno preverjene, preden se jim dovoli tak dostop. Podobno varnostno preverjanje se zahteva za osebe, katerih delovne naloge vključujejo tehnično delovanje ali vzdrževanje komunikacijskih in informacijskih sistemov, ki vsebujejo tajne podatke. Namen takega varnostnega preverjanja je ugotoviti, če take osebe:

(a)

izražajo nedvomno lojalnost;

(b)

imajo take osebnostne lastnosti in diskretnost, ki ne dopuščajo dvomov o njihovi integriteti pri ravnanju s tajnimi podatki, ali

(c)

morda lahko hitro pridejo pod vpliv tujih ali drugih virov.

V postopkih varnostnega preverjanja se posebej natančno preverijo osebe:

(d)

ki naj bi dobile dostop do podatkov ►M2 TRES SECRET UE/EU TOP SECRET ◄ ;

(e)

ki zasedajo položaje, ki vključujejo redni dostop do velikega števila podatkov ►M2 SECRET UE ◄ ;

(f)

ki imajo zaradi delovnih dolžnosti poseben dostop do varnih komunikacijskih ali informacijskih sistemov in s tem priložnost nedovoljenega dostopa do velikih količin tajnih podatkov EU ali povzročitve resne škode izvedbi naloge z dejanji tehnične sabotaže.

V okoliščinah, navedenih v pododstavkih (d), (e) in (f) se v največji možni meri uporablja metoda ugotavljanja zanesljivosti.

Če naj bi se osebe, za katere ne velja „potreba vedeti“, zaposlile v okoliščinah, v katerih bi lahko imele dostop do tajnih podatkov EU (npr. sli, varnostni agenti, vzdrževalno in čistilno osebje itd.), morajo biti najprej ustrezno varnostno preverjene.

6.2 Evidenca varnostnega preverjanja osebja

Vse službe Komisije, ki imajo opravka s tajnimi podatki EU ali pri katerih se nahajajo varni komunikacijski ali informacijski sistemi, vodijo evidenco varnostnega preverjanja oseb, ki so jim dodeljene. Vsako potrdilo o varnostnem preverjanju se odvisno od okoliščin preveri, da se zagotovi njegova ustreznost za tekočo zadolžitev osebe; potrdilo se ponovno preveri kot prednostna zadeva vsakič ob prejemu novega podatka o tem, da nadaljnje delo s tajnimi podatki ni več v skladu z varnostnimi interesi. Lokalni varnostni uradnik službe Komisije vodi evidenco o varnostnem preverjanju oseb na svojem področju.

6.3 Varnostna navodila za osebje

Vse osebje na delovnih mestih, na katerih bi lahko imelo dostop do tajnih podatkov, mora biti ob začetku izvajanja nalog in v rednih časovnih presledkih temeljito seznanjeno s potrebo po varnosti in z ustreznimi postopki za njihovo izvajanje. Od takega osebja se zahteva, da pisno potrdi, da je prebralo in popolnoma razumelo veljavne predpise o varnosti.

6.4 Odgovornosti vodstvenega osebja

Vodstveno osebje mora biti seznanjeno, kateri sodelavci imajo pri svojem delu opravka s tajnimi podatki ali imajo dostop do zavarovanih komunikacijskih ali informacijskih sistemov in za evidentiranje ter poročanje o vseh incidentih ali očitnih slabostih, ki bi lahko imeli posledice za varnost.

6.5 Varnostni status osebja

Določijo se postopki, v katerih se v primeru ugotovitve negativnih podatkov o posamezniku ugotavlja, ali ima pri svojem delu opravka s tajnimi podatki in ali ima dostop do zavarovanih komunikacijskih ali informacijskih sistemov, o čemer se obvesti ►M3 Direktorat za varnost Komisije ◄ . Če se ugotovi, da tak posameznik pomeni tveganje za varnost, se mu prepreči opravljanje nalog, kjer bi lahko škodoval interesom varnosti.

7. MATERIALNA VARNOST

7.1 Potreba po varovanju

Stopnja ukrepov materialne varnosti, ki se uporabljajo za zagotavljanje varovanja tajnih podatkov EU je v sorazmerju z določeno stopnjo tajnosti, obsegom in ogroženostjo shranjenih podatkov in gradiva. Vsi imetniki tajnih podatkov EU v zvezi s stopnjo tajnosti teh podatkov upoštevajo enotne prakse in izpolnjujejo skupne standarde glede varovanja, prenosa in uničenja podatkov in gradiva, ki zahteva varovanje.

7.2 Preverjanje

Pred odhodom s področij, kjer se nahajajo tajni podatki EU brez nadzora, zagotovijo osebe, ki so zadolžene za njihov nadzor, da so ti varno shranjeni in da so aktivirane vse varnostne naprave (ključavnice, alarmi itd.). Dodatna neodvisna preverjanja se izvajajo po izteku delovnega časa.

7.3 Varnost zgradb

Zgradbe, v katerih se nahajajo tajni podatki EU ali varni komunikacijski in informacijski sistemi, se zavarujejo pred dostopom nepooblaščenih oseb. Vrsta varovanja tajnih podatkov EU, npr. rešetke na oknih, vratne ključavnice/zapahi, vhodna straža, samodejni sistemi nadzora dostopa, varnostna preverjanja in obhodne patrulje, alarmni sistemi, sistemi odkrivanja dejavnosti nepooblaščenih oseb in psi čuvaji, je odvisna od:

(a)

stopnje tajnosti in količine varovanih podatkov in gradiva ter njihove lokacije v stavbi;

(b)

kvalitete varnostnih vsebnikov za hranjenje takih podatkov in gradiva; in

(c)

tehničnih značilnosti in lokacije zgradbe.

Podobno je vrsta varovanja komunikacijskih in informacijskih sistemov odvisna od ocene vrednosti udeleženih sredstev in morebitne škode, ki bi lahko nastala v primeru ogrožanja varnosti, od fizičnih značilnosti in lokacije zgradbe, v kateri se sistem nahaja, ter od lokacije sistema v zgradbi.

7.4 Načrt ukrepov ob nepredvidljivih dogodkih

Pripravijo se podrobni načrti za varovanje tajnih podatkov v izrednih razmerah na lokalni ali državni ravni.

8. VAROVANJE PODATKOV

Varovanje podatkov (INFOSEC) se nanaša na opredelitev in uporabo varnostnih ukrepov za varovanje tajnih podatkov EU, ki se obdelujejo, hranijo ali prenašajo s komunikacijskimi, informacijskimi in drugimi elektronskimi sistemi pred izgubo tajnosti, celovitosti ali razpoložljivosti, bodisi slučajne ali namerne. Sprejmejo se primerni protiukrepi za preprečevanje dostopa do tajnih podatkov EU nepooblaščenim uporabnikom, preprečevanje onemogočanja dostopa do tajnih podatkov EU pooblaščenim uporabnikom in za preprečevanje ponarejanja ali nepooblaščenega spreminjanja ali brisanja tajnih podatkov EU.

9. UKREPI PROTI SABOTAŽAM IN NADZOR NAD DRUGIMI OBLIKAMI NAKLEPNEGA POŠKODOVANJA

Materialni previdnostni ukrepi za varovanje pomembnih objektov, v katerih se nahajajo tajni podatki, so najboljša varovalka pred sabotažami in naklepnim poškodovanjem in samo varnostno preverjanje osebja še ne pomeni učinkovitega nadomestila. Pristojni državni organ se zadolži za zbiranje podatkov glede vohunstva, sabotaž, terorizma in drugih subverzivnih dejavnosti.

10. POSREDOVANJE TAJNIH PODATKOV TRETJIM DRŽAVAM ALI MEDNARODNIM ORGANIZACIJAM

Odločitev o posredovanju tajnih podatkov EU z izvorom v Komisiji tretji državi ali mednarodni organizaciji sprejme Komisija kot kolegijski organ. Če organ izvora podatka, za katerega je posredovanje zaželeno, ni Komisija, Komisija organ izvora najprej zaprosi za njegov pristanek glede posredovanja. Če organa izvora ni mogoče ugotoviti, njegovo odgovornost prevzame Komisija.

Če Komisija prejme tajne podatke iz tretjih držav, mednarodnih organizacij ali od drugih tretjih strani, se ti podatki primerno zavarujejo glede na njihovo stopnjo tajnosti in enakovredno varovanje glede na standarde, določene v tem pravilniku, ki veljajo za tajne podatke EU, ali glede na take višje standarde, ki bi jih pri posredovanju podatkov lahko zahtevala tretja stran. Mogoče se je dogovoriti za vzajemni nadzor.

Zgornja načela se izvajajo v skladu s podrobnimi določbami, določenimi v Delu II, Oddelek 26 in Dodatkih 3, 4 in 5.

DEL II: ORGANIZACIJA VARNOSTI V KOMISIJI

11. ČLAN KOMISIJE, PRISTOJEN ZA VARNOSTNE ZADEVE

Član Komisije, pristojen za varnostne zadeve:

(a)

izvaja varnostno politiko Komisije;

(b)

preučuje varnostna vprašanja, ki mu jih predloži Komisija ali njena pristojna telesa;

(c)

v sodelovanju z organi, pristojnimi za državno varnost (ali drugimi primernimi organi) držav članic (v nadaljnjem besedilu „NSA“) preučuje vprašanja v zvezi s spremembami varnostne politike Komisije.

Član Komisije, pristojen za varnostne zadeve, skrbi zlasti za:

(a)

usklajevanje vseh varnostnih zadev v zvezi z dejavnostmi Komisije;

(b)

naslavljanje zahtev uradno imenovanim organom držav članic za izdajo varnostnih dovoljenj osebju, zaposlenemu v Komisiji, s strani organov, pristojnih za državno varnost, v skladu z oddelkom 20;

(c)

opravljanje preiskav ali vlaganje zahtev za preiskave v zvezi z vsemi odtekanji tajnih podatkov EU, za kar je predvidoma treba najti vzrok v Komisiji;

(d)

predložitev zahtev ustreznim varnostnim organom, da uvedejo preiskave, če se zdi, da se je pojavilo odtekanje tajnih podatkov EU iz Komisije, in usklajevanje poizvedb, kadar je vpleten več kot en varnostni organ;

(e)

stalen nadzor nad varnostno ureditvijo za varovanje tajnih podatkov EU;

(f)

ohranjanje tesne povezave z vsemi zadevnimi varnostnimi organi zaradi doseganja vsesplošne varnostne usklajenosti;

(g)

nenehno preverjanje varnostne politike Komisije in postopkov ter, če se to zahteva, pripravljanje ustreznih priporočil. Glede tega član Komisije, pristojen za varnostna vprašanja, Komisiji predloži letni načrt inšpekcijskih pregledov, ki ga pripravi ►M3 Direktorat za varnost Komisije ◄ .

12. SVETOVALNA SKUPINA ZA VARNOSTNO POLITIKO KOMISIJE

Ustanovi se svetovalna skupina za varnostno politiko Komisije. Sestavljajo jo član/članica Komisije, pristojen/pristojna za varnostna vprašanja, ali njegov/njen namestnik, ki predseduje skupini, ter predstavniki organov, pristojnih za državno varnost (NSA) vsake države članice. Vabljeni so lahko tudi predstavniki drugih evropskih institucij. Poleg njih so lahko vabljeni tudi predstavniki ustreznih decentraliziranih agencij ES in EU, kadar se obravnavajo vprašanja v zvezi z njimi.

Svetovalna skupina za varnostno politiko Komisije se sestane na zahtevo njenega predsednika ali katerega koli od njenih članov. Naloga skupine je, da pregleda in oceni vsa ustrezna varnostna vprašanja in, če je potrebno, posreduje priporočila Komisiji.

▼M3

13. VARNOSTNI ODBOR KOMISIJE

Ustanovi se Varnostni odbor Komisije. Sestavljajo ga generalni direktor Službe za kadrovske zadeve in administracijo, ki predseduje Varnostnemu odboru, član kabineta komisarja, pristojnega za varnostne zadeve, član kabineta predsednika, namestnik generalnega sekretarja, ki predseduje skupini za krizno upravljanje Komisije, generalni direktorji Pravne službe, Službe za zunanje odnose, pravosodje, svobodo in varnost, Skupnega raziskovalnega središča, Službe za informatiko, Službe za notranjo revizijo ter direktor Direktorata za varnost Komisije ali njihovi zastopniki. Vabljeni so lahko tudi drugi uradniki Komisije. Odbor je pristojen za oceno varnostnih ukrepov v okviru Komisije in pripravo priporočil s tega področja za člana Komisije, pristojnega za varnostne zadeve.

14. ►M3 DIREKTORAT ZA VARNOST KOMISIJE ◄

Članu Komisije, pristojnemu za varnostne zadeve, pri opravljanju njegovih nalog iz oddelka 11, kot so usklajevanje, nadzor in izvajanje varnostnih ukrepov, pomaga ►M3 Direktorat za varnost Komisije ◄ .

►M3 Direktor Direktorata za varnost Komisije ◄ je glavni svetovalec člana Komisije, pristojnega za varnostne zadeve, kateremu svetuje glede varnostnih zadev in opravlja dolžnosti sekretarja Svetovalne skupine za varnostno politiko. V zvezi s tem je pristojen za pripravo potrebnih sprememb varnostnih predpisov in usklajuje varnostne ukrepe s pristojnimi organi držav članic ter, kjer je primerno, z mednarodnimi organizacijami, ki so s Komisijo sklenile varnostne sporazume. V ta namen opravlja naloge uradnika za zvezo.

►M3 Direktor Direktorata za varnost Komisije ◄ je odgovoren za akreditacijo sistemov in omrežij informacijske tehnologije (IT) v okviru Komisije. ►M3 Direktor Direktorata za varnost Komisije ◄ se v soglasju s pristojnim organom za državno varnost (NSA) odloči o akreditaciji sistemov in omrežij IT, ki vključujejo na eni strani Komisijo na drugi pa katerega koli prejemnika tajnih podatkov EU.

15. VARNOSTNI PREGLEDI

►M3 Direktorat za varnost Komisije ◄ za varovanje tajnih podatkov EU opravlja redne preglede varnostne ureditve.

►M3 Direktorat za varnost Komisije ◄ pri opravljanju te naloge lahko pomagajo varnostne službe drugih institucij EU, ki imajo tajne podatke EU, ali organi, pristojni za državno varnost (NSA) države članice ( 14 ).

Na zahtevo države članice lahko pregled tajnih podatkov EU opravi njen organ, pristojen za državno varnost (NSA) v okviru Komisije skupaj z ►M3 Direktorat za varnost Komisije ◄ na podlagi medsebojnega dogovora.

16. STOPNJE TAJNOSTI, VARNOSTNI OZNAČEVALNIKI IN OZNAKE

16.1 Stopnje tajnosti ( 15 )

Tajni podatki imajo naslednje stopnje tajnosti (glej tudi Dodatek 2):

►M2 TRES SECRET UE/EU TOP SECRET ◄ : ta stopnja tajnosti se uporablja le za podatke in gradivo, katerega nedovoljeno razkritje bi lahko povzročilo izjemno težke posledice za temeljne interese Evropske unije in ene ali več njenih držav članic.

►M2 SECRET UE ◄ : ta stopnja tajnosti se uporablja le za podatke in gradivo, katerega nedovoljeno razkritje bi lahko resno škodovalo temeljnim interesom Evropske unije ali ene ali več njenih držav članic.

►M2 CONFIDENTIEL UE ◄ : ta stopnja tajnosti se uporablja za podatke in gradivo, katerega nedovoljeno razkritje bi lahko škodovalo temeljnim interesom Evropske unije ali ene ali več njenih držav članic.

►M2 RESTREINT UE ◄ : ta stopnja tajnosti se uporablja le za podatke in gradivo, katerega nedovoljeno razkritje bi lahko bilo škodljivo za interese Evropske unije ali ene ali več njenih držav članic.

Druge stopnje tajnosti niso dopustne.

16.2 Varnostni označevalniki

Da bi se določile meje veljavnosti stopenj tajnosti (za tajne podatke, ki pomenijo avtomatično znižanje stopnje tajnosti ali odpravo stopnje tajnosti), se lahko uporabi dogovorjen varnostni označevalnik. Ta označevalnik se glasi bodisi „DO … (čas/datum)“ bodisi „DO … (dogodek)“.

Dodatni varnostni označevalniki, kot so označevalniki KRIPTO ali katerikoli drugi varnostni označevalnik, ki ga priznava EU, se uporabljajo v primeru potrebe po omejenem pošiljanju in posebnem ravnanju poleg tistega, ki je že označen s stopnjo tajnosti.

Varnostni označevalniki se uporabijo le skupaj s stopnjo tajnosti.

16.3 Oznake

Oznaka se lahko uporabi za določanje področja, ki ga pokriva dokument, ali določenega pošiljanja na podlagi „potrebe vedeti“ ali zato (pri podatkih, ki niso tajni), da se označi konec embarga.

Oznaka ni stopnja tajnosti in se ne sme uporabiti namesto nje.

Oznaka EVOP se uporabi pri dokumentih in njihovih kopijah v zvezi z varnostjo in obrambo Unije ali ene ali več njenih držav članic ali v zvezi z vojaškim ali nevojaškim kriznim upravljanjem.

16.4 Namestitev stopenj tajnosti

Stopnja tajnosti se označi:

(a)

na dokumentih ►M2 RESTREINT UE ◄ z mehanskimi ali elektronskimi sredstvi;

(b)

na dokumentih ►M2 CONFIDENTIEL UE ◄ z mehanskimi sredstvi, ročno ali s tiskanjem na predhodno žigosan, registrirani papir;

(c)

na dokumentih ►M2 SECRET UE ◄ in ►M2 TRES SECRET UE/EU TOP SECRET ◄ z mehanskimi sredstvi ali ročno.

16.5 Namestitev varnostnih označevalnikov

Varnostni označevalniki se namestijo neposredno pod stopnjo tajnosti z uporabo enakih sredstev kot pri namestitvi stopenj tajnosti.

17. MERILA ZA DOLOČANJE STOPENJ TAJNOSTI

17.1 Splošno

Podatki se določijo kot tajni podatki le, če je to potrebno. Stopnja tajnosti se jasno in pravilno označi ter se ohrani samo toliko časa, kot je potrebno za varovanje podatkov.

Za določitev stopnje tajnosti podatka ter vsako znižanje stopnje tajnosti ali odpravo stopnje tajnosti je odgovorna samo oseba izvora.

Uradniki in drugi uslužbenci v Komisiji določajo stopnje tajnosti podatkom, jim znižujejo ali odpravljajo stopnje tajnosti po navodilu ali v dogovoru z vodjo službe.

Podrobni postopki za ravnanje s tajnimi dokumenti so določeni tako, da tem dokumentom zagotavljajo varovanje, ki ustreza podatkom, ki jih vsebujejo.

Število oseb, ki so pooblaščene za pripravo dokumentov ►M2 TRES SECRET UE/EU TOP SECRET ◄ , se ohrani na minimumu, njihova imena pa se vnesejo v seznam, ki ga vodi ►M3 Direktorat za varnost Komisije ◄ .

17.2 Uporaba stopenj tajnosti

Stopnja tajnosti dokumenta se določi glede na občutljivost njegove vsebine v skladu z opredelitvijo iz oddelka 16. Pomembno je, da se stopnja tajnosti uporablja na pravilen način in glede na stvarne potrebe. To zlasti velja za stopnjo tajnosti ►M2 TRES SECRET UE/EU TOP SECRET ◄ .

Pri stopnji tajnosti dokumenta oseba izvora tega dokumenta upošteva zgoraj navedena pravila in se izogiba vsakršni težnji po previsoki ali prenizki stopnji tajnosti.

Navodilo za uporabo stopenj tajnosti je v Dodatku 2.

Za posamezne strani, odstavke, oddelke, priloge, dodatke, dodane in priložene dele posameznega dokumenta se lahko določijo različne stopnje tajnosti. Stopnja tajnosti dokumenta kot celote je tista, ki velja za njegov del, označen z najvišjo stopnjo tajnosti.

Stopnja tajnosti pisma ali zabeležke k priloženim delom je enaka najvišji stopnji tajnosti njenih priloženih delov. Če je pismo ali zabeležka ločena od priloženih delov, mora oseba izvora jasno določiti stopnjo tajnosti.

Dostop javnosti še naprej ureja Uredba (ES) št. 1049/2001.

17.3 Zniževanje in odprava stopenj tajnosti

Tajnim podatkom EU se lahko zniža ali odpravi stopnja tajnosti samo z dovoljenjem osebe izvora in, če je potrebno, po posvetovanju z drugimi zainteresiranimi stranmi. Zniževanje ali odprava stopenj tajnosti se potrdi pisno. Oseba izvora je dolžna o spremembi obvestiti svoje naslovnike, ti pa so dolžni o tej spremembi obvestiti vse nadaljnje naslovnike, katerim so poslali ali jim kopirali dokument.

Če je mogoče, osebe izvora na tajnem dokumentu določijo datum, čas ali dogodek, v katerem je vsebini mogoče znižati ali odpraviti stopnjo tajnosti. V nasprotnem primeru osebe izvora preverjajo dokumente najpozneje vsakih pet let, da bi zagotovili potrebno izvorno stopnjo tajnosti.

18. MATERIALNA VARNOST

18.1 Splošno

Glavni cilji ukrepov materialne varnosti so nepooblaščeni osebi preprečiti dostop do tajnih podatkov in/ali gradiva EU, preprečiti krajo ali poškodbo opreme in druge lastnine ter onemogočiti motenje osebja, drugih zaposlenih in obiskovalcev ali druge oblike pritiska na njih.

18.2 Varnostne zahteve

Vsi objekti, območja, zgradbe, prostori, komunikacijski in informacijski sistemi itd., v katerih se hranijo in/ali obdelujejo tajni podatki in gradivo EU, se zavarujejo z ustreznimi ukrepi materialne varnosti.

Pri odločanju o potrebni ravni ukrepov materialne varnosti je treba upoštevati vse pomembne dejavnike, kot so:

(a)

stopnja tajnosti podatkov in/ali gradiva;

(b)

količina in oblika (npr. papir, računalniški nosilci shranjevanja) varovanih podatkov;

(c)

lokalno oceno nevarnosti s strani obveščevalnih služb, katerih delovanje je usmerjeno proti EU, državam članicam in/ali drugim institucijam ali tretjim strankam, ki razpolagajo s tajnimi podatki EU, in sicer v zvezi s sabotažami, terorizmom ter drugimi subverzivnimi in/ali kriminalnimi dejavnostmi.

Ukrepi materialne varnosti se načrtujejo zaradi:

(a)

preprečevanja skrivnih ali nasilnih vdorov nepooblaščenih oseb;

(b)

odvračanja, oviranja in odkrivanja dejanj nelojalnih članov osebja;

(c)

onemogočanja dostopa do tajnih podatkov EU tistim, od katerih se ne zahteva, da so z njimi seznanjeni.

18.3 Ukrepi materialne varnosti

18.3.1 Varnostna območja

Območja, kjer se obdelujejo ali shranjujejo podatki s stopnjo tajnosti ►M2 CONFIDENTIEL UE ◄ ali z višjo stopnjo tajnosti, se uredijo in strukturirajo tako, da ustrezajo eni od naslednjih kategorij:

(a)

Varnostno območje razreda I: območje, kjer se podatki ►M2 CONFIDENTIEL UE ◄ ali podatki z višjo stopnjo tajnosti obdelujejo in shranjujejo tako, da vstop na to območje dejansko pomeni dostop do tajnih podatkov. Za takšno območje se zahteva:

(i)

jasno določen in zavarovan obseg prostora, prek katerega se nadzorujejo vsi vhodi in izhodi;

(ii)

sistem vhodnega nadzora, ki vstop na območje dovoljuje samo ustrezno preverjenim in posebno pooblaščenim osebam;

(iii)

podroben opis stopnje tajnosti podatkov, ki se običajno hranijo na takem območju, tj. podatkov, ki z vstopom na območje postanejo dostopni.

(b)

Varnostno območje razreda II: območje, kjer se podatki ►M2 CONFIDENTIEL UE ◄ ali podatki z višjo stopnjo tajnosti obdelujejo in shranjujejo tako, da so pred dostopom nepooblaščenih oseb varovani s pomočjo notranjega nadzora, npr. objekti, kjer so službe, v katerih se redno obdelujejo in shranjujejo podatki ►M2 CONFIDENTIEL UE ◄ ali podatki z višjo stopnjo tajnosti. Za takšno območje se zahteva:

(i)

jasno določen in zavarovan obseg prostora, prek katerega se nadzorujejo vsi vhodi in izhodi;

(ii)

sistem vhodnega nadzora, ki vstop na območje dovoljuje samo ustrezno preverjenim in posebno pooblaščenim osebam. Za vse druge osebe se zahteva spremstvo ali enakovreden nadzor, ki nepooblaščenim osebam preprečuje dostop do tajnih podatkov EU in nenadzorovan vstop na območja, ki so predmet tehničnih varnostnih inšpekcijskih pregledov.

Tista območja, na katerih uslužbenci niso prisotni 24 ur na dan, se pregledajo takoj po izteku normalnega delovnega časa, da se zagotovi ustrezno zavarovanje tajnih podatkov EU.

18.3.2 Upravno območje

Okoli varnostnih območij razreda I in razreda II ali v smereh, ki vodijo na ta območja, se lahko vzpostavi upravno območje z nižjo stopnjo varovanja. Za tako območje se zahteva vidno določen obseg prostora, ki omogoča preverjanje osebja in vozil. V teh območjih se obdelujejo in shranjujejo samo podatki ►M2 RESTREINT UE ◄ in podatki, ki niso označeni s stopnjo tajnosti.

18.3.3 Vhodni in izhodni nadzor

Vhod v varnostna območja razreda I in razreda II in izhod iz njih se nadzoruje z dovolilnico ali s sistemom prepoznavanja oseb, ki velja za celotno osebje, ki običajno dela na teh območjih. Za preprečevanje nepooblaščenega dostopa do tajnih podatkov EU se vzpostavi tudi sistem preverjanja obiskovalcev. Sistem dovolilnic lahko dopolnjuje samodejno prepoznavanje kot dopolnilo k varnostnemu osebju, vendar ga v celoti ne nadomešča. Sprememba ocene ogrožanja lahko ima za posledico okrepitev ukrepov vhodnega in izhodnega nadzora, na primer med obiskom uglednih oseb.

18.3.4 Varnostni obhodi

Obhodi varnostnih območij razreda I in razreda II se morajo opravljati izven običajnega delovnega časa, da bi se premoženje EU zavarovalo pred ogrožanjem, poškodovanjem ali izgubo. Pogostost obhodov se določa glede na lokalne pogoje, vendar morajo obhodi praviloma potekati vsaki dve uri.

18.3.5 Varnostni vsebniki in prostori-trezorji

Za hranjenje tajnih podatkov EU se uporabljajo trije razredi vsebnikov:

—

Razred A: vsebniki, ki so na nacionalni ravni odobreni za hranjenje tajnih podatkov ►M2 TRES SECRET UE/EU TOP SECRET ◄ na varnostnih območjih razreda I ali razreda II;

—

Razred B: vsebniki, ki so na nacionalni ravni odobreni za hranjenje tajnih podatkov ►M2 SECRET UE ◄ in ►M2 CONFIDENTIEL UE ◄ na varnostnih območjih razreda I ali razreda II;

—

Razred C: pisarniško pohištvo, primerno samo za hranjenje tajnih podatkov ►M2 RESTREINT UE ◄ .

V prostorih-trezorjih, zgrajenih na varnostnih območjih razreda I in razreda II in za vsa varnostna območja razreda I, kjer se tajni podatki ►M2 CONFIDENTIEL UE ◄ in podatki z višjo stopnjo tajnosti hranijo na odprtih policah ali so predstavljeni na grafičnih prikazih, kartah/zemljevidih itd., mora stene, tla, strope in vrata s ključavnico(ami) potrditi Služba za akreditacijo varnosti (SAA) kot takšne, ki zagotavljajo enakovredno varovanje, kot jo zagotavlja razred varnostnih vsebnikov, odobrenih za shranjevanje tajnih podatkov iste stopnje tajnosti.

18.3.6 Ključavnice

Ključavnice, ki se uporabljajo pri varnostnih vsebnikih in prostorih-trezorjih, v katerih se hranijo tajni podatki EU, ustrezajo naslednjim standardom:

—

Skupina A: biti morajo odobrene na nacionalni ravni za vsebnike razreda A;

—

Skupina B: biti morajo odobrene na nacionalni ravni za vsebnike razreda B;

—

Skupina C: biti morajo primerne samo za uporabo na pisarniškem pohištvu razreda C.

18.3.7 Nadzor nad ključi in kombinacijami

Ključi varnostnih vsebnikov se ne smejo nositi iz stavb Komisije. Nastavitve kombinacij za varnostne vsebnike si morajo osebe, ki jih morajo poznati, zapomniti. Nadomestni ključi in pisni zapisi vseh nastavitev kombinacij za uporabo v nujnih primerih so pri lokalnem varnostnem uradniku, zadolženem za varnost v pristojni službi Komisije; zapisi se hranijo ločeno, v zapečatenih neprozornih ovojnicah. Delovni ključi, nadomestni varnostni ključi in nastavitve kombinacij se hranijo v ločenih varnostnih vsebnikih. Za te ključe in nastavitve kombinacij mora biti zagotovljeno enako strogo varovanje kakor za gradivo, do katerega omogočajo dostop.

Poznavanje nastavitev kombinacij varnostnih vsebnikov je omejeno na najmanjše možno število oseb. Kombinacije se spremenijo:

(a)

ob prejemu novega vsebnika;

(b)

ob vsaki zamenjavi osebja;

(c)

ob vsakem dejanskem ali predvidenem ogrožanju;

(d)

po možnosti v presledkih šestih mesecev ali vsaj vsakih 12 mesecev.

18.3.8 Naprave za odkrivanje dejavnosti nepooblaščenih oseb

Če se za varovanje tajnih podatkov EU uporabljajo alarmni sistemi, televizija zaprtega kroga in druge električne naprave, mora biti na voljo rezervno električno napajanje, ki v primerih prekinitve glavnega električnega napajanja zagotavlja neprekinjeno delovanje sistema. Druga temeljna zahteva je, da se v primeru okvare v delovanju takšnih sistemov ali manipuliranju z njimi sproži ustrezen alarm ali kakšno drugo zanesljivo opozorilo nadzornemu osebju.

18.3.9 Odobrena oprema

►M3 Direktorat za varnost Komisije ◄ vodi in dopolnjuje sezname varnostne opreme po tipih in modelih, ki jo je odobril zaradi neposrednega ali posrednega varovanja tajnih podatkov v različnih razmerah in pogojih. ►M3 Direktorat za varnost Komisije ◄ med drugim te sezname utemeljuje na podatkih organa, pristojnega za državno varnost (NSA).

18.3.10 Fizično varovanje fotokopirnih strojev in telefaksov

Fotokopirni stroji in telefaksi se fizično varujejo v potrebnem obsegu, s čimer se zagotovi, da jih lahko uporabljajo le pooblaščene osebe za obdelavo tajnih podatkov in da so vsi tajni podatki pod primernim nadzorom.

18.4 Varovanje pred vpogledom in pred prisluškovanjem

18.4.1 Varovanje pred vpogledom

Podnevi in ponoči se izvajajo vsi ustrezni ukrepi, ki zagotavljajo, da tajnih podatkov EU ne more videti, niti po naključju, nobena nepooblaščena oseba.

18.4.2 Varovanje pred prisluškovanjem

Pisarniški prostori ali območja, v katerih se redno razpravlja o podatkih s stopnjo tajnosti ►M2 SECRET UE ◄ ali z višjo stopnjo tajnosti, se v primerih tveganja zavarujejo pred pasivnimi ali aktivnimi poskusi prisluškovanja. Za oceno tveganja takšnih poskusov je zadolžen ►M3 Direktorat za varnost Komisije ◄ , ki se po potrebi posvetuje z organi, pristojnimi za državno varnost (NSA).

18.4.3 Vnos elektronske in snemalne opreme

Na varnostna območja ali tehnično zavarovana območja ni dovoljeno vnašati mobilnih telefonov, zasebnih računalnikov, snemalnih naprav, kamer in drugih elektronskih ali snemalnih naprav brez predhodnega dovoljenja ►M3 direktor Direktorata za varnost Komisije ◄ .

Pri določanju varnostnih ukrepov za prostore, ki so občutljivi na pasivno prisluškovanje (npr. izolacija zidov, tal, vrat, stropov, merjenja jakosti zvoka) in za aktivno prisluškovanje (npr. iskanje mikrofonov), lahko ►M3 Direktorat za varnost Komisije ◄ zahteva pomoč strokovnjakov organov, pristojnih za državno varnost (NSA).

Podobno lahko, kadar tako zahtevajo okoliščine, strokovnjaki za tehnično varnost pri organih, pristojnih za državno varnost (NSA) na zahtevo ►M3 direktor Direktorata za varnost Komisije ◄ pregledajo telekomunikacijsko opremo in kakršno koli električno ali elektronsko pisarniško opremo, ki je bila uporabljena med sestanki stopnje ►M2 SECRET UE ◄ ali višje stopnje.

18.5 Tehnično varovana območja

Nekatera območja se lahko določijo kot tehnično varovana območja. Ob vstopu vanje se izvede poseben pregled. Če v njih ni osebja, taka območja ostanejo zaklenjena po odobrenem postopku, vsi ključi pa se obravnavajo kot varnostni ključi. Taka območja so predmet rednih pregledov v okviru varovanja stavb, ki se opravijo tudi po dejanskem vstopu ali sumu vstopa nepooblaščenih oseb.

Vodi se natančen popis opreme in pohištva zaradi nadzora in spremembe njihove lokacije. V tako območje se ne sme vnesti nikakršen kos pohištva ali opreme, dokler ga posebno za to usposobljeno varnostno osebje skrbno ne pregleda zaradi odkritja morebitnih prisluškovalnih naprav. Splošno pravilo je, da namestitev komunikacijskih vodov na tehnično zavarovana območja ni dovoljena brez predhodnega pooblastila pristojnega organa.

19. SPLOŠNA PRAVILA O NAČELU POTREBE VEDETI IN VARNOSTNEM PREVERJANJU OSEBJA EU

19.1 Splošno

Dostop do tajnih podatkov EU se dovoli samo osebam, za katere zaradi opravljanja njihovih dolžnosti ali nalog velja „potreba vedeti“. Dostop do podatkov ►M2 TRES SECRET UE/EU TOP SECRET ◄ , ►M2 SECRET UE ◄ in ►M2 CONFIDENTIEL UE ◄ se odobri le osebam, ki so varnostno preverjene.

Za določitev oseb, za katere velja „potreba vedeti“, je pristojna služba, v kateri se namerava zadevna oseba zaposliti.

Varnostno preverjanje osebja zahteva posamezna služba.

Ob koncu postopka se izda „varnostno potrdilo EU za osebje“, ki določa stopnjo tajnosti podatkov, do katerih lahko ima preverjena oseba dostop, in datum prenehanja veljavnosti potrdila.

Varnostno potrdilo EU za osebje, izdano za določeno stopnjo tajnosti, imetniku omogoči dostop do podatkov z nižjo stopnjo tajnosti.

Osebe, razen uradnikov ali drugih uslužbencev, kot so zunanji pogodbeniki, strokovnjaki ali svetovalci, s katerimi je treba obravnavati ali jim pokazati tajne podatke EU, morajo za tajne podatke EU imeti varnostno potrdilo in biti seznanjeni s svojo odgovornostjo za varnost.

Javni dostop še naprej ureja Uredba (ES) št. 1049/2001.

19.2 Posebna pravila o dostopu do podatkov ►M2 TRES SECRET UE/EU TOP SECRET ◄

Vse osebe, ki potrebujejo dostop do podatkov ►M2 TRES SECRET UE/EU TOP SECRET ◄ , morajo najprej opraviti preverjanje za pridobitev dostopa do takih podatkov.

Vse osebe, za katere se zahteva dostop do podatkov ►M2 TRES SECRET UE/EU TOP SECRET ◄ , imenuje član Komisije, pristojen za varnostne zadeve, njihova imena pa se hranijo v ustreznem registru ►M2 TRES SECRET UE/EU TOP SECRET ◄ . Ta register vzpostavi in vodi ►M3 Direktorat za varnost Komisije ◄ .

Vse osebe morajo pred pridobitvijo dostopa do podatkov ►M2 TRES SECRET UE/EU TOP SECRET ◄ podpisati potrdilo, ki dokazuje, da so bile seznanjene z varnostnimi postopki Komisije in da se v celoti zavedajo svoje posebne odgovornosti za varovanje podatkov ►M2 TRES SECRET UE/EU TOP SECRET ◄ ter posledic, ki jih predvidevajo predpisi EU in predpisi držav članic, če tajni podatki pridejo v roke nepooblaščeni osebi, bodisi namenoma ali iz malomarnosti.

Za osebe, ki imajo na sestankih itd. dostop do podatkov ►M2 TRES SECRET UE/EU TOP SECRET ◄ , pristojni uradnik za nadzor službe ali organa, kjer je navedena oseba zaposlena, obvesti organ, ki je sklical sestanek, da zadevne osebe tako dovoljenje imajo.

Imena vseh oseb, ki ne opravljajo več nalog, za katere se zahteva dostop do podatkov ►M2 TRES SECRET UE/EU TOP SECRET ◄ , se umaknejo s seznama ►M2 TRES SECRET UE/EU TOP SECRET ◄ . Poleg tega so vse take osebe ponovno opozorjene na njihovo posebno odgovornost glede varovanja podatkov ►M2 TRES SECRET UE/EU TOP SECRET ◄ . Osebe podpišejo tudi izjavo, s katero potrjujejo, da ne bodo niti uporabljale niti posredovale naprej podatkov ►M2 TRES SECRET UE/EU TOP SECRET ◄ , s katerimi so se seznanile.

19.3 Posebna pravila o dostopu do podatkov ►M2 SECRET UE ◄ in ►M2 CONFIDENTIEL UE ◄

Vse osebe, ki potrebujejo dostop do podatkov ►M2 SECRET UE ◄ ali ►M2 CONFIDENTIEL UE ◄ , morajo najprej opraviti preverjanje za pridobitev dostopa do ustrezne stopnje tajnosti podatkov.

Vse osebe, ki potrebujejo dostop do podatkov ►M2 SECRET UE ◄ ali ►M2 CONFIDENTIEL UE ◄ , se morajo seznaniti z ustreznimi varnostnimi predpisi in se zavedati posledic malomarnega odnosa do njih.

Za osebe, ki imajo na sestankih itd. dostop do podatkov ►M2 SECRET UE ◄ in ►M2 CONFIDENTIEL UE ◄ , varnostni uradnik organa, kjer je navedena oseba zaposlena, obvesti organ, ki je sklical sestanek, da imajo zadevne osebe tako pooblastilo.

19.4 Posebna pravila o dostopu do podatkov ►M2 RESTREINT UE ◄

Osebe, ki imajo dostop do podatkov ►M2 RESTREINT UE ◄ , so opozorjene na ta pravilnik in posledice malomarnega odnosa do njih.

19.5 Prenosi

Če je uslužbenec premeščen z delovnega mesta, na katerem je imel opravka s tajnimi podatki EU, registrski urad nadzoruje, da prenos takih podatkov od odhajajočega k prihajajočemu uslužbencu poteka na pravilen način.

Če je uslužbenec premeščen na drugo delovno mesto, kjer ima opravka s tajnimi podatki EU, ga lokalni varnostni uradnik ustrezno pouči.

19.6 Posebna navodila

Osebe, od katerih se zahteva delo s tajnimi podatki EU, je treba ob nastopu dela in nato redno opozarjati na:

(a)

nevarnosti za varnost, ki izhajajo iz prostih pogovorov;

(b)

previdnostne ukrepe v njihovih odnosih s tiskom in predstavniki posebnih interesnih skupin;

(c)

nevarnost, ki jo za EU in države članice v zvezi s tajnimi podatki in dejavnostmi EU predstavlja dejavnost obveščevalnih služb;

(d)

obveznost takojšnjega poročanja pristojnim varnostnim organom o vsakem ravnanju, ki bi zbudilo sum o vohunski dejavnosti ali o kakršnih koli nenavadnih okoliščinah v zvezi z varnostjo.

Vse osebe, ki so običajno izpostavljene pogostim stikom s predstavniki držav, katerih obveščevalne službe delujejo proti EU in državam članicam v zvezi s tajnimi podatki in dejavnostmi EU, so poučene o tehnikah, za katere je znano, da jih uporabljajo različne obveščevalne službe.

Za zasebna potovanja osebja, ki je bilo za dostop do tajnih podatkov EU varnostno preverjeno, v katero koli namembno območje, Komisija nima nobenih varnostnih predpisov. Vendar pa ►M3 Direktorat za varnost Komisije ◄ seznani uradnike in druge uslužbence, ki spadajo v njegovo pristojnost, s pravili potovanja, ki jih bodo morda morali spoštovati.

20. POSTOPEK VARNOSTNEGA PREVERJANJA URADNIKOV IN DRUGIH USLUŽBENCEV KOMISIJE

(a)

Samo uradniki in drugi uslužbenci Komisije ali osebe, zaposlene v Komisiji, ki morajo zaradi opravljanja svojih nalog in zahtev službe poznati ali uporabljati tajne podatke Komisije, imajo dostop do takšnih podatkov.

(b)

Da bi pridobile dostop do podatkov s stopnjo „ ►M2 TRES SECRET UE/EU TOP SECRET ◄ “, „ ►M2 SECRET UE ◄ “ in „ ►M2 CONFIDENTIEL UE ◄ “, morajo imeti osebe iz odstavka (a) pooblastilo v skladu s postopkom iz odstavkov (c) in (d) tega oddelka.

(c)

Pooblastilo se izda samo osebam, ki so bile varnostno preverjene pri organih, pristojnih za državno varnost v državah članicah (NSA) v skladu s postopkom iz odstavkov (i) do (n).

(d)

►M3 direktor Direktorata za varnost Komisije ◄ je pristojen za izdajanje pooblastil iz odstavkov (a), (b) in (c).

(e)

Vodja izda pooblastilo po pridobitvi mnenja pristojnih državnih organov držav članic na podlagi opravljenega varnostnega pregleda, ki s izvede v skladu z odstavki (i) do (n).

(f)

►M3 Direktorat za varnost Komisije ◄ vodi in dopolnjuje seznam vseh občutljivih mest v posameznih službah Komisije, ter vseh oseb, ki so pridobile (začasno) pooblastilo.

(g)

Pooblastilo, ki velja pet let, ne sme presegati časa trajanja nalog, za katere je bilo izdano. V skladu s postopkom iz odstavka (e) se lahko obnovi.

(h)

►M3 direktor Direktorata za varnost Komisije ◄ odvzame pooblastilo, kadar meni, da ima za to upravičene razloge. Vsaka odločitev o odvzemu pooblastila se sporoči zadevni osebi, ki lahko zahteva zaslišanje s strani ►M3 direktor Direktorata za varnost Komisije ◄ ali pristojnega državnega organa.

(i)

Varnostni pregled se opravi s sodelovanjem zadevne osebe in na zahtevo ►M3 direktor Direktorata za varnost Komisije ◄ . Pristojni državni organ za preglede je organ tiste države članice, katere državljan je oseba, ki se ji izda pooblastilo. Kadar zadevna oseba ni državljan države članice EU, ►M3 direktor Direktorata za varnost Komisije ◄ zaprosi za varnostni pregled tisto državo članico EU, v kateri ima oseba stalno prebivališče ali navadno prebiva.

(j)

Kot del postopka pregleda mora zadevna oseba izpolniti obrazec z osebnimi podatki.

(k)

►M3 direktor Direktorata za varnost Komisije ◄ v svoji zahtevi določi vrsto in stopnjo tajnosti podatkov, ki bodo na razpolago zadevni osebi, tako da pristojni državni organi lahko opravijo postopek pregleda in dajo svoje mnenje glede obsega pooblastil, ki bi bil primeren za navedeno osebo.

(l)

Za celotni proces varnostnega preverjanja skupaj z dobljenimi rezultati se upoštevajo ustrezna pravila in predpisi, ki veljajo v zadevni državi članici, vključno s pravili in predpisi, ki urejajo pravna sredstva.

(m)

Kadar pristojni državni organi države članice izdajo pozitivno mnenje, lahko ►M3 direktor Direktorata za varnost Komisije ◄ izda zadevni osebi ustrezno pooblastilo.

(n)

Kadar pristojni državni organi izdajo negativno mnenje, o tem uradno obvestijo zadevno osebo, ki lahko zaprosi ►M3 direktor Direktorata za varnost Komisije ◄ za zaslišanje. Če vodja ►M3 direktor Direktorata za varnost Komisije ◄ meni, da je to potrebno, lahko zaprosi pristojne državne organe za vsa dodatna pojasnila, ki jih lahko dajo. V primeru potrditve negativnega mnenja se pooblastilo ne izda.

(o)

Vse osebe, ki jim je bilo izdano pooblastilo v smislu odstavkov (d) in (e) v času izdaje pooblastila in potem v rednih časovnih presledkih prejmejo vsa potrebna navodila v zvezi z varovanjem tajnih podatkov in sredstvi za zagotavljanje takega varovanja. Take osebe podpišejo izjavo, s katero potrjujejo, da so prejele navodila in se obvežejo, da jih bodo spoštovale.

(p)

►M3 direktor Direktorata za varnost Komisije ◄ sprejme vse potrebne ukrepe za izvajanje tega oddelka, zlasti glede pravil, ki urejajo dostop do seznama pooblaščenih oseb.

(q)

Izjemoma, če tako zahteva služba, lahko ►M3 direktor Direktorata za varnost Komisije ◄ , potem ko je uradno obvestil pristojne državne organe in pod pogojem, da od njih v roku enega meseca ni dobil odziva, izda začasno pooblastilo za obdobje, ki ne presega šest mesecev, do objave rezultata pregleda iz odstavka (i).

(r)

Tako izdana prehodna in začasna pooblastila ne dajejo dostopa do podatkov ►M2 TRES SECRET UE/EU TOP SECRET ◄ ; dostop do takih podatkov je omejen na uradnike, ki so dejansko opravili pregled s pozitivnimi rezultati v skladu z odstavkom (i). Do objave rezultatov pregleda se uradnikom, za katere je bilo preverjanje zahtevano za stopnjo ►M2 TRES SECRET UE/EU TOP SECRET ◄ , lahko začasno in prehodno dovoli dostop do podatkov s stopnjo tajnosti do in vključno z ►M2 SECRET UE ◄ .

21. PRIPRAVA, POŠILJANJE, PRENOS, VARNOST KURIRJEV TER DODATNE KOPIJE ALI PREVODI IN IZVLEČKI IZ TAJNIH DOKUMENTOV EU

21.1 Priprava

1. Stopnje tajnosti EU, določene v oddelku 16, ►M2 CONFIDENTIEL UE ◄ in višje stopnje se označijo zgoraj in spodaj na sredini vsake strani, vsaka stran pa je oštevilčena. Vsak tajni dokument EU je opremljen z referenčno številko in datumom. Pri dokumentih ►M2 TRES SECRET UE/EU TOP SECRET ◄ in ►M2 SECRET UE ◄ je referenčna številka na vsaki strani. Če je treba dokumente razdeliti v več izvodih, ima vsak izvod številko, ki je na prvi strani skupaj s skupnim številom strani. Seznam vseh dodatkov in prilog se navede na prvi strani dokumenta s stopnjo ►M2 CONFIDENTIEL UE ◄ ali z višjo stopnjo tajnosti.

2. Dokumente s stopnjo ►M2 CONFIDENTIEL UE ◄ in z višjo stopnjo tajnosti tipkajo, prevajajo, shranjujejo, fotokopirajo, reproducirajo na magnetni trak ali na mikrofilm samo osebe, ki so bile varnostno preverjene za dostop do tajnih podatkov EU vsaj do stopnje tajnosti zadevnega dokumenta.

3. Računalniško pripravo tajnih dokumentov ureja oddelek 25.

21.2 Pošiljanje

1. Tajni podatki EU se pošiljajo samo osebam, za katere velja „potreba vedeti“ in ki so ustrezno varnostno preverjene. Prvo pošiljanje določi oseba izvora.

2. Dokumenti ►M2 TRES SECRET UE/EU TOP SECRET ◄ se pošiljajo preko registrskih uradov ►M2 TRES SECRET UE/EU TOP SECRET ◄ (glej oddelek 22.2). Za sporočila ►M2 TRES SECRET UE/EU TOP SECRET ◄ pristojni registrski urad lahko pooblasti vodjo komunikacijskega centra, da pripravi število izvodov, ki je določeno v seznamu naslovnikov.

3. Dokumente s stopnjo ►M2 SECRET UE ◄ in z nižjo stopnjo tajnosti drugim naslovnikom lahko pošilja izvorni naslovnik na podlagi „potrebe vedeti“. Vendar pa organi izvora jasno navedejo vse potrebne omejitve. Kadarkoli so te omejitve uvedene, lahko naslovniki dokumente ponovno pošiljajo samo s pooblastilom oseb izvora.

4. Vsak dokument s stopnjo ►M2 CONFIDENTIEL UE ◄ in z višjo stopnjo tajnosti, ob prihodu ali izhodu iz generalnega direktorata ali službe v evidenco vpiše lokalni registrski urad za tajne podatke EU v okviru posamezne službe. Podatki, ki jih je treba vpisati (reference, datum in po potrebi številka izvoda), morajo omogočati prepoznavo dokumentov in biti vpisani v kontrolno knjigo ali vneseni v posebno varovan računalniški nosilec. (glej 22.1).

21.3 Prenos tajnih dokumentov EU

21.3.1 Pakiranje, potrdila

1. Dokumenti s stopnjo ►M2 CONFIDENTIEL UE ◄ in z višjo stopnjo, se posredujejo v odpornih, neprozornih dvojnih ovojnicah. Na notranji ovojnici se označijo ustrezna stopnja tajnosti EU in, če je možno, popolni podatki o nazivu delovnega mesta in naslova prejemnika.

2. Notranjo ovojnico lahko odpre in potrdi prejem priloženih dokumentov samo nadzorni uradnik registrskega urada (glej oddelek 22.1) ali njegov namestnik, razen če ta ovojnica ni naslovljena na posameznika. V takem primeru ustrezni registrski urad (glej oddelek 22.1) vpiše prejem ovojnice, notranjo ovojnico pa sme odpreti in potrditi prejem v njej vsebovanih dokumentov samo tista oseba, na katero je naslovljena.

3. V notranjo ovojnico se priloži potrdilo o prejemu. Na potrdilu, ki ne bo razvrščeno, morajo biti navedeni referenčna številka, datum in številka izvoda dokumenta, nikoli pa njegov predmet.

4. Notranja ovojnica se vloži v zunanjo ovojnico, ki nosi odpremno številko za namene prejema. Stopnja tajnosti v nobenem primeru ne sme biti vidna na zunanji ovojnici.

5. Za dokumente s stopnjo ►M2 CONFIDENTIEL UE ◄ in z višjo stopnjo tanosti kurirji dobijo potrdila, na katerih se morajo podatki ujemati z odpremnimi številkami.

21.3.2 Prenos znotraj zgradbe ali skupine zgradb

Znotraj zgradbe ali skupine zgradb se tajni dokumenti lahko prenašajo v zapečatenih ovojnicah, na katerih je samo ime naslovnika, pod pogojem, da je oseba, ki jih prenaša, bila varnostno preverjena za stopnjo tajnosti dokumentov.

21.3.3 Prenos znotraj države

1. Znotraj države prenos dokumentov ►M2 TRES SECRET UE/EU TOP SECRET ◄ opravlja samo uradna kurirska služba ali osebe, ki so pooblaščene za dostop do podatkov ►M2 TRES SECRET UE/EU TOP SECRET ◄ .

2. Kadar se uporabi kurirska služba za prenos dokumenta ►M2 TRES SECRET UE/EU TOP SECRET ◄ izven zgradbe ali skupine zgradb, je treba upoštevati določbe o odpremljanju in prejemu iz tega poglavja. Dostavne službe morajo imeti na voljo zadostno število osebja, da bi zagotovile, da pošiljke dokumentov ►M2 TRES SECRET UE/EU TOP SECRET ◄ ves čas ostajajo pod neposrednim nadzorom odgovorne osebe.

3. Izjemoma lahko dokumente ►M2 TRES SECRET UE/EU TOP SECRET ◄ izven zgradbe ali skupine zgradb za lokalno rabo na sestankih in razpravah prenašajo uslužbenci, ki niso kurirji, pod pogojem da:

(a)

je prenašalec pooblaščen za dostop do dokumentov ►M2 TRES SECRET UE/EU TOP SECRET ◄ ;

(b)

je način odpreme v skladu s pravili o prenosu dokumentov ►M2 TRES SECRET UE/EU TOP SECRET ◄ ;

(c)

uslužbenec v nobenem primeru ne pusti dokumentov ►M2 TRES SECRET UE/EU TOP SECRET ◄ brez nadzora;

(d)

se uredi vse potrebno, da seznam dokumentov, ki se prenašajo na takšen način, ostane v registrskem uradu ►M2 TRES SECRET UE/EU TOP SECRET ◄ , kjer se dokumenti hranijo, in da se vpiše v kontrolno knjigo ter omogoči preverjanje dokumentov ob njihovi vrnitvi.

4. Znotraj ene države se dokumenti ►M2 SECRET UE ◄ in ►M2 CONFIDENTIEL UE ◄ lahko pošiljajo po pošti, če tak prenos dovoljujejo nacionalni predpisi in če je prenos v skladu z določbami tega pravilnika, ali prenos opravi kurirska služba ali osebe, ki so bile varnostno preverjene v zvezi z dostopom do tajnih podatkov EU.

5. ►M3 Direktorat za varnost Komisije ◄ pripravi navodila o osebnem prenašanju tajnih dokumentov EU, ki temeljijo na tem pravilniku. Od prenašalca se zahteva, da se s temi navodili seznani in jih podpiše. Navodila zlasti jasno določajo, da pod nobenim pogojem:

(a)

prenašalec dokumentov ne da iz rok, razen če so pod varnim nadzorom v skladu z določbami iz oddelka 18;

(b)

dokumenti ne smejo biti brez nadzora v sredstvih javnega prometa ali zasebnih vozilih ali na mestih, kot so restavracije ali hoteli. Ne smejo se hraniti v hotelskih trezorjih ali biti brez nadzora v hotelskih sobah;

(c)

se dokumenti ne smejo prebirati na javnih mestih, kot so letala ali vlaki.

21.3.4 Prenos iz ene države v drugo

1. Gradivo s stopnjo ►M2 CONFIDENTIEL UE ◄ in z višjo stopnjo tajnosti, prenašajo diplomatske ali vojaške kurirske službe.

2. Vendar pa se osebni prenos gradiva s stopnjo ►M2 SECRET UE ◄ in ►M2 CONFIDENTIEL UE ◄ , dovoli, če določbe v zvezi s prenosom zagotavljajo, da dokumenti ne morejo priti v roke nobeni nepooblaščeni osebi.

3. Član Komisije, pristojen za varnostne zadeve, lahko odobri osebni prenos, če diplomatska ali vojaška kurirska služba nista na voljo ali če bi uporaba teh služb imela za posledico zamudo, ki bi škodila operacijam EU, in če naslovnik gradivo nujno potrebuje. ►M3 Direktorat za varnost Komisije ◄ pripravi navodila za mednarodni osebni prenos tajnega gradiva s stopnjami do ►M2 SECRET UE ◄ in vključno z njo s strani oseb, ki niso kurirji diplomatskih in vojaških kurirskih služb. Navodila določajo, da:

(a)

ima prenašalec ustrezno varnostno potrdilo;

(b)

se v pristojni službi ali registrskem uradu vodi evidenca o celotnem gradivu, ki se tako prenaša;

(c)

je na paketih ali vrečah, ki vsebujejo gradivo EU, nameščena uradna plomba, ki preprečuje carinski nadzor, ter nalepke za prepoznavo in navodila za najditelja;

(d)

ima prenašalec pri sebi kurirsko potrdilo in/ali potni nalog, ki ga priznavajo vse države EU, s katerim je pooblaščen za prenos ustrezno označenega paketa;

(e)

se na potovanju po kopnem ne prečka nobena od držav nečlanic EU ali njihovih meja, razen če ima država odpošiljateljica posebno jamstvo teh držav;

(f)

bo program potovanja prenašalca glede krajev namembnosti, potovalnih smeri in sredstev uporabljenega prevoza v skladu s predpisi EU ali - če so nacionalni predpisi v zvezi s takimi zadevami strožji - v skladu s temi predpisi;

(g)

gradivo mora ostati v lasti prenašalca, razen če se varuje v skladu z določbami o varnem shranjevanju iz oddelka 18;

(h)

gradivo ne sme ostati brez nadzora v sredstvih javnega prometa ali zasebnih vozilih ali na mestih, kot so restavracije ali hoteli. Ne sme se hraniti v hotelskih trezorjih ali biti brez nadzora v hotelskih sobah;

(i)

če gradivo, ki se prenaša, vsebuje dokumente, se ti ne smejo prebirati na javnih mestih (npr. v letalih, vlakih itd.).

4. Oseba, ki je določena za prenos tajnega gradiva, mora prebrati in podpisati varnostna navodila, ki vsebujejo najmanj že navedena navodila, in postopke, po katerih je treba ravnati v nujnih primerih ali kadar carinski ali letališki varnostni organi zahtevajo pregled paketa, ki vsebuje tajno gradivo.

21.3.5 Prenos dokumentov ►M2 RESTREINT UE ◄

Za prenos dokumentov ►M2 RESTREINT UE ◄ ni predvidenih posebnih določb, razen zagotovil, da ob prenosu dokumenti ne morejo preiti v roke nobeni nepooblaščeni osebi.

21.4 Varnost kurirjev

Vsi kurirji, ki so zadolženi za prenašanje dokumentov ►M2 SECRET UE ◄ in ►M2 CONFIDENTIEL UE ◄ , morajo biti ustrezno varnostno preverjeni.

21.5 Elektronska in druga sredstva tehničnega prenosa

1. Zaradi zagotovitve varnega prenosa tajnih podatkov EU se uvedejo varnostni ukrepi na področju komunikacij. Podrobna pravila, ki veljajo za prenos takih tajnih podatkov EU, določa oddelek 25.

2. Podatke s stopnjo ►M2 CONFIDENTIEL UE ◄ in ►M2 SECRET UE ◄ lahko prenašajo le akreditirani komunikacijski centri in omrežja in/ali terminali ter sistemi.

21.6 Dodatne kopije in prevodi ter izvlečki iz tajnih dokumentov EU

1. Kopijo ali prevod dokumentov ►M2 TRES SECRET UE/EU TOP SECRET ◄ lahko odobri le organ izvora.

2. Če osebe brez varnostnega potrdila ►M2 TRES SECRET UE/EU TOP SECRET ◄ potrebujejo podatke, ki, čeprav so vsebovani v dokumentu ►M2 TRES SECRET UE/EU TOP SECRET ◄ , nimajo navedene stopnje tajnosti, se vodji registrskega urada ►M2 TRES SECRET UE/EU TOP SECRET ◄ (glej oddelek 22.2) lahko dovoli, da pripravi potrebno število izvlečkov iz navedenega dokumenta. Hkrati vodja sprejme potrebne ukrepe, ki zagotovijo, da se takim izvlečkom določi ustrezna stopnja tajnosti

3. Dokumente s stopnjo ►M2 SECRET UE ◄ in z nižjo stopnjo tajnosti, lahko razmnoži in prevaja naslovnik v skladu s tem pravilnikom in pod pogojem doslednega uresničevanja načela „potrebe vedeti“. Varnostni ukrepi, ki veljajo za izvorni dokument, veljajo tudi za njegove razmnožene primerke in/ali prevode.

22. REGISTRSKI URADI, INVENTURNI POPISI, PREVERJANJA, ARHIVIRANJE IN UNIČENJE TAJNIH PODATKOV EU

22.1 Lokalni registrski uradi za tajne podatke EU

1. V okviru Komisije je v vsaki službi, če je to potrebno, eden ali več lokalnih registrskih uradov za tajne podatke EU odgovornih za registracijo, razmnoževanje, odpremljanje, arhiviranje in uničenje dokumentov, označenih s stopnjo ►M2 SECRET UE ◄ in ►M2 CONFIDENTIEL UE ◄ .

2. Kadar služba nima lokalnega registrskega urada za tajne podatke EU, njegovo vlogo prevzame lokalni registrski urad za tajne podatke EU generalnega sekretariata.

3. Lokalni registrski uradi za tajne podatke EU poročajo vodji službe, od katerega prejemajo navodila. Vodja teh registrskih uradov je nadzorni uradnik registrskega urada (RCO).

4. Lokalni registrski uradi za tajne podatke EU so pod nadzorom lokalnega varnostnega uradnika, če gre za uporabo predpisov o ravnanju z dokumenti s tajnimi podatki EU in upoštevanje ustreznih varnostnih ukrepov.

5. Uradnikom, ki so dodeljeni lokalnim registrskim uradom za tajne podatke EU, je dovoljen dostop do tajnih podatkov EU v skladu z oddelkom 20.

6. Pod vodstvom pristojnega vodje službe so lokalni registrski uradi za tajne podatke EU zadolženi za:

(a)

vodenje postopkov v zvezi z registracijo, razmnoževanjem, prevajanjem, prenosom, odpremljanjem in uničevanjem takih podatkov;

(b)

vodenje registra o tajnih podatkih;

(c)

redno preverjanje potrebe po ohranjanju stopenj tajnosti podatkov.

7. Lokalni registrski uradi za tajne podatke EU vodijo evidenco o naslednjih podatkih:

(a)

datumu določitve tajnih podatkov;

(b)

stopnje tajnosti;

(c)

datumu prenehanja veljavnosti stopnje tajnosti;

(d)

imenu in službi osebe izvora;

(e)

prejemniku ali prejemnikih, z zaporedno številko;

(f)

predmetu;

(g)

številki;

(h)

številu izvodov v obtoku;

(i)

pripravi popisa tajnih podatkov, ki so bili posredovani službi;

(j)

vpisniku o odpravi ali zniževanju stopenj tajnosti tajnih podatkov.

8. Splošna pravila, določena v oddelku 21, veljajo za lokalne registrske urade za tajne podatke EU v Komisiji, razen če jih spreminjajo posebna pravila iz tega oddelka.

22.2 Registrski urad ►M2 TRES SECRET UE/EU TOP SECRET ◄

22.2.1 Splošno

1. Centralni registrski urad ►M2 TRES SECRET UE/EU TOP SECRET ◄ zagotavlja evidentiranje, obdelavo in razširjanje dokumentov ►M2 TRES SECRET UE/EU TOP SECRET ◄ v skladu s tem pravilnikom. Vodja registrskega urada ►M2 TRES SECRET UE/EU TOP SECRET ◄ je nadzorni uradnik registrskega urada ►M2 TRES SECRET UE/EU TOP SECRET ◄ .

2. Centralni registrski urad ►M2 TRES SECRET UE/EU TOP SECRET ◄ deluje kot glavni sprejemni in odpremni organ v Komisiji, pri drugih institucijah EU, državah članicah, mednarodnih organizacijah in tretjih državah, s katerimi ima Komisija sklenjene sporazume o varnostnih postopkih za izmenjavo tajnih podatkov.

3. Če je potrebno, se ustanovijo podregistrski uradi, ki so odgovorni za notranje upravljanje dokumentov ►M2 TRES SECRET UE/EU TOP SECRET ◄ ; njihova naloga je sprotno dopolnjevanje podatkov o kroženju vsakega dokumenta, za katerega so zadolženi.

4. Podregistrski uradi ►M2 TRES SECRET UE/EU TOP SECRET ◄ se ustanovijo, kakor to določa oddelek 22.2.3, zaradi dolgoročnih potreb in so pridruženi centralnemu registrskemu uradu ►M2 TRES SECRET UE/EU TOP SECRET ◄ . Če so potrebe po proučitvi dokumentov ►M2 TRES SECRET UE/EU TOP SECRET ◄ samo začasne ali priložnostne, se ti dokumenti lahko razpošiljajo brez ustanovitve podregistrskega urada ►M2 TRES SECRET UE/EU TOP SECRET ◄ , pod pogojem, da so predpisana pravila, ki zagotavljajo nadaljnji nadzor s strani ustreznega registrskega urada ►M2 TRES SECRET UE/EU TOP SECRET ◄ in da se pri tem spoštujejo vsi ukrepi za materialno varnost in varnost osebja.

5. Podregistrski uradi ne smejo prenesti dokumentov ►M2 TRES SECRET UE/EU TOP SECRET ◄ neposredno na druge podregistrske urade istega centralnega registrskega urada ►M2 TRES SECRET UE/EU TOP SECRET ◄ brez izrecne odobritve slednjega.

6. Vse izmenjave dokumentov ►M2 TRES SECRET UE/EU TOP SECRET ◄ med podregistrskimi uradi, ki niso pridruženi istemu centralnemu registrskemu uradu, potekajo prek centralnih registrskih uradov ►M2 TRES SECRET UE/EU TOP SECRET ◄ .

22.2.2 Centralni registrski urad ►M2 TRES SECRET UE/EU TOP SECRET ◄

Kot nadzorni uradnik je vodja centralnega registrskega urada ►M2 TRES SECRET UE/EU TOP SECRET ◄ pristojen za:

(a)

prenos dokumentov ►M2 TRES SECRET UE/EU TOP SECRET ◄ v skladu z določbami iz oddelka 21.3;

(b)

vodenje seznama vseh svojih podrejenih podregistrskih uradov ►M2 TRES SECRET UE/EU TOP SECRET ◄ skupaj z imeni in podpisi imenovanih uradnikov za nadzor in njihovih pooblaščenih namestnikov;

(c)

shranjevanje potrdil registrskih uradov za vse dokumente ►M2 TRES SECRET UE/EU TOP SECRET ◄ , ki jih je razposlal centralni registrski urad;

(d)

vodenje evidence dokumentov ►M2 TRES SECRET UE/EU TOP SECRET ◄ , ki se hranijo, in tistih, ki so bili razposlani naprej;

(e)

vodenje dopolnjenega seznama vseh centralnih registrskih uradov ►M2 TRES SECRET UE/EU TOP SECRET ◄ , s katerimi si običajno izmenjuje korespondenco, skupaj z imeni in podpisi njihovih imenovanih uradnikov za nadzor in njihovih pooblaščenih namestnikov;

(f)

materialno varovanje vseh dokumentov ►M2 TRES SECRET UE/EU TOP SECRET ◄ , ki se hranijo v registrskem uradu v skladu s pravili, ki jih določa oddelek 18.

22.2.3 Podregistrski uradi ►M2 TRES SECRET UE/EU TOP SECRET ◄

Kot nadzorni uradnik je vodja podregistrskega urada ►M2 TRES SECRET UE/EU TOP SECRET ◄ pristojen za:

(a)

prenos dokumentov ►M2 TRES SECRET UE/EU TOP SECRET ◄ v skladu z določbami oddelka 21.3;

(b)

vodenje dopolnjenega seznama vseh oseb, pooblaščenih za dostop do podatkov ►M2 TRES SECRET UE/EU TOP SECRET ◄ , pod njegovim nadzorom;

(c)

razpošiljanje dokumentov ►M2 TRES SECRET UE/EU TOP SECRET ◄ v skladu z navodili osebe izvora ali na podlagi potrebe vedeti, pri čemer najprej preveri, ali ima naslovnik zahtevano varnostno potrdilo;

(d)

vodenje evidence vseh dokumentov s stopnjo ►M2 TRES SECRET UE/EU TOP SECRET ◄ , ki se hranijo ali so v obtoku pod njegovim nadzorom ali ki so bili poslani drugim registrskim uradom ►M2 TRES SECRET UE/EU TOP SECRET ◄ , ter hranjenje vseh potrebnih potrdil;

(e)

vodenje seznama registrskih uradov ►M2 TRES SECRET UE/EU TOP SECRET ◄ , pri katerih je pooblaščen za izmenjavo dokumentov ►M2 TRES SECRET UE/EU TOP SECRET ◄ , skupaj z imeni in podpisi njihovih uradnikov za nadzor in pooblaščenih namestnikov;

(f)

materialno varovanje vseh dokumentov ►M2 TRES SECRET UE/EU TOP SECRET ◄ , ki se hranijo v podregistrskem uradu v skladu z določbami oddelka 18.

22.3 Inventurni popisi in preverjanja tajnih dokumentov EU

1. Vsako leto registrski urad ►M2 TRES SECRET UE/EU TOP SECRET ◄ , kot je navedeno v tem oddelku, opravi posamični popis vseh dokumentov ►M2 TRES SECRET UE/EU TOP SECRET ◄ . Dokument velja za evidentiranega, če registrski urad fizično razpolaga z njim ali če ima urad potrdilo registrskega urada ►M2 TRES SECRET UE/EU TOP SECRET ◄ , kateremu je bil poslan, s potrdilom o uničenju dokumenta ali z navodili o znižanju ali odpravi stopenj tajnosti navedenega dokumenta. Ugotovitve letnih popisov pošljejo članu Komisije, pristojnemu za varnostne zadeve, in sicer najpozneje do 1. aprila vsakega leta.

2. Podregistrski uradi ►M2 TRES SECRET UE/EU TOP SECRET ◄ pošljejo ugotovitve svojih letnih popisov centralnemu registrskemu uradu, kateremu so odgovorni, do datuma, ki ga določi centralni registrski urad.

3. Tajni dokumenti z nižjo stopnjo tajnosti kot je ►M2 TRES SECRET UE/EU TOP SECRET ◄ so predmet notranjih preverjanj v skladu z navodili člana Komisije, pristojnega za varnostne zadeve.

4. V teh postopkih lahko imetnik dokumenta izrazi mnenje glede:

(a)

možnosti znižanja ali odprave stopnje tajnosti nekaterih dokumentov;

(b)

dokumentov, ki jih je treba uničiti.

22.4 Arhiviranje tajnih podatkov EU

1. Tajni podatki EU se hranijo v pogojih, določenih v oddelku 18.

2. Zaradi lažjega arhiviranja se uradnikom, zadolženim za nadzor v vseh registrskih uradih, dovoli snemanje dokumentov ►M2 TRES SECRET UE/EU TOP SECRET ◄ , ►M2 SECRET UE ◄ in ►M2 CONFIDENTIEL UE ◄ na mikrofilm ali drugačno shranjevanje na magnetna ali optična sredstva za namene arhiviranja pod pogojem, da:

(a)

postopek snemanja na mikrofim/shranjevanja opravlja osebje z veljavnim varnostnim potrdilom, ki ustreza stopnji tajnosti;

(b)

je mikrofilm/nosilec shranjenih podatkov varovan na enak način kakor izvirni dokumenti;

(c)

je o snemanju na mikrofilm/shranjevanju vsakega dokumenta ►M2 TRES SECRET UE/EU TOP SECRET ◄ obveščen organ izvora;

(d)

filmski koluti ali druge vrste nosilcev vsebujejo samo dokumente iste stopnje tajnosti ►M2 TRES SECRET UE/EU TOP SECRET ◄ , ►M2 SECRET UE ◄ ali ►M2 CONFIDENTIEL UE ◄ ;

(e)

je snemanje na mikrofilm/shranjevanje dokumentov ►M2 TRES SECRET UE/EU TOP SECRET ◄ ali ►M2 SECRET UE ◄ razločno označeno v evidenci, ki se uporablja za letno inventuro;

(f)

se izvirni dokumenti, ki so bili posneti na mikrofilm ali kako drugače shranjeni, uničijo v skladu s pravili iz oddelka 22.5.

3. Ta pravila veljajo tudi za druge oblike dovoljenega shranjevanja, kot so elektromagnetni nosilci in optični diski.

22.5 Uničenje tajnih dokumentov EU

1. Da bi se preprečilo nepotrebno kopičenje tajnih dokumentov EU, se tisti, za katere je vodja službe, kjer se hranijo, mnenja, da so brezpredmetni in jih je preveč, uničijo takoj, ko je mogoče, in sicer na naslednji način:

(a)

Dokumente ►M2 TRES SECRET UE/EU TOP SECRET ◄ uniči le centralni registrski urad, ki je za njih odgovoren. Vsak uničeni dokument se vpiše na potrdilo o uničenju, ki ga podpišeta uradnik, zadolžen za nadzor na stopnji ►M2 TRES SECRET UE/EU TOP SECRET ◄ , in uradnik, ki je priča uničenju in ki mora imeti varnostno potrdilo na stopnji ►M2 TRES SECRET UE/EU TOP SECRET ◄ . V ta namen se v vpisnik vnese ustrezna zabeležka;

(b)

Registrski urad hrani potrdila o uničenju skupaj z dokumentacijo o razpošiljanju za deset let. Kopije se posredujejo osebi izvora ali ustreznemu centralnemu registrskemu uradu le, kadar se to posebej zahteva;

(c)

Dokumenti ►M2 TRES SECRET UE/EU TOP SECRET ◄ se skupaj z vsemi odpadki, ki se obravnavajo kot tajno gradivo in so nastali pri pripravi dokumentov ►M2 TRES SECRET UE/EU TOP SECRET ◄ , kot so poškodovane kopije, delovni osnutki, natipkana sporočila, diskete, uničijo pod nadzorom nadzornega uradnika registrskega urada ►M2 TRES SECRET UE/EU TOP SECRET ◄ z zažigom, zmletjem, razrezom v pramene ali z drugačno spremembo v neprepoznavno in nesestavljivo obliko.

2. Dokumente ►M2 SECRET UE ◄ uniči registrski urad, ki je za navedene dokumente odgovoren, pod nadzorom varnostno preverjene osebe po enem od postopkov, navedenih v odstavku 1(c). Uničeni dokumenti ►M2 SECRET UE ◄ se vpišejo na podpisana potrdila o uničenju, ki jih registrski urad hrani skupaj z dokumentacijo o razpošiljanju najmanj tri leta.

3. Dokumente ►M2 CONFIDENTIEL UE ◄ uniči registrski urad, ki je za navedene dokumente odgovoren, pod nadzorom varnostno preverjene osebe po enem od postopkov, navedenih v odstavku 1(c). Njihovo uničenje se evidentira v skladu z navodili člana Komisije, pristojnega za varnostne zadeve.

4. Dokumente ►M2 RESTREINT UE ◄ uniči registrski urad, odgovoren za navedene dokumente, ali uporabnik, v skladu z navodili člana Komisije, pristojnega za varnostne zadeve.

22.6 Uničenje v nujnih primerih

1. Službe Komisije ob upoštevanju lokalnih pogojev pripravijo načrte za varovanje tajnih podatkov EU v kriznih razmerah, vključno, če je to potrebno, z načrti za uničenje in evakuacijo v nujnih primerih. Na ta način razdelijo potrebna navodila, da tajni podatki EU ne bi prišli v roke nepooblaščenim osebam.

2. Ukrepi v zvezi z varovanjem in/ali uničenjem gradiva ►M2 SECRET UE ◄ in ►M2 CONFIDENTIEL UE ◄ v kriznih razmerah nikakor ne smejo biti v škodo varovanju ali uničenju gradiva ►M2 TRES SECRET UE/EU TOP SECRET ◄ , vključno z (de)šifrirno opremo, katerih obravnava ima prednost pred vsemi drugimi nalogami.

3. Ukrepi, ki se sprejmejo za varovanje ali uničenje (de)šifrirne opreme v nujnih primerih, so določeni v posebnih navodilih.

4. Navodila morajo biti na voljo na kraju samem v zapečateni ovojnici. Na razpolago morajo biti sredstva/orodja za uničenje.

23. VARNOSTNI UKREPI ZA POSEBNE SESTANKE, KI POTEKAJO IZVEN PROSTOROV KOMISIJE IN VKLJUČUJEJO TAJNE PODATKE EU

23.1 Splošno

Če sestanki Komisije ali drugi pomembni sestanki potekajo izven prostorov Komisije in kjer zaradi visoke občutljivosti obravnavanih vprašanj ali podatkov to opravičujejo posebne varnostne zahteve, se uporabijo spodaj navedeni varnostni ukrepi. Ti ukrepi veljajo samo za varovanje tajnih podatkov EU; predvidijo se lahko tudi drugi varnostni ukrepi.

23.2 Pristojnosti

23.2.1 ►M3 Direktorat za varnost Komisije ◄

►M3 Direktorat za varnost Komisije ◄ sodeluje s pristojnimi organi države članice, na čigar območju poteka sestanek (država članica gostiteljica), da bi se zagotovila varnost sestankov Komisije ali drugih pomembnih sestankov ter zaradi varnosti samih delegatov in njihovega osebja. V zvezi z varovanjem urad posebej zagotovi, da:

(a)

so pripravljeni načrti za primere ogrožanja varnosti in incidente v zvezi z varnostjo, pri čemer zadevni ukrepi zajemajo predvsem varno hrambo tajnih dokumentov EU v uradih;

(b)

so sprejeti taki ukrepi, ki zagotavljajo možen dostop do komunikacijskega sistema Komisije za prejem in pošiljanje tajnih podatkov EU. Od države članice gostiteljice se zahteva, da po potrebi zagotovi tudi dostop do varnih telefonskih sistemov.

►M3 Direktorat za varnost Komisije ◄ ima vlogo svetovanja v zvezi z varnostjo pri pripravi sestanka; tam je zastopan zaradi pomoči in svetovanja uradniku, zadolženemu za varnost sestanka (MSO), in delegacijam, če je to potrebno.

Od vsake delegacije, prisotne na sestanku, se zahteva, da določi uradnika za varnost, ki bo odgovoren za obravnavanje varnostnih zadev v svoji delegaciji in za vzdrževanje povezav z uradnikom, zadolženim za varnost sestanka ter, če se to zahteva, s predstavnikom ►M3 Direktorat za varnost Komisije ◄ .

23.2.2 Uradnik, zadolžen za varnost sestanka (MSO)

Imenuje se uradnik, zadolžen za varnost sestanka, ki je odgovoren za splošno pripravo in nadzor nad splošnimi internimi varnostnimi ukrepi ter za uskladitev z drugimi zadevnimi varnostnimi organi. Ukrepi, ki jih sprejme nadzorni uradnik sestanka, na splošno veljajo za:

(a)

varnostne ukrepe na kraju sestanka, ki zagotavljajo, da sestanek poteka brez vsakršnih incidentov, ki bi lahko ogrozili varnost katerih koli tam uporabljenih tajnih podatkov EU;

(b)

preverjanje osebja z dovoljenjem za dostop na mesto sestanka, območja delegacij in v konferenčne sobe ter preverjanje celotne opreme;

(c)

stalno usklajevanje s pristojnimi organi države članice gostiteljice in ►M3 Direktorat za varnost Komisije ◄ ;

(d)

vključitev varnostnih navodil v gradivo za sestanek ob ustreznem upoštevanju določb tega pravilnika in vseh drugih varnostnih navodil, ki bi se izkazala za potrebna.

23.3 Varnostni ukrepi

23.3.1 Varnostna območja

Vzpostavijo se naslednja varnostna območja:

(a)

Varnostno območje razreda II, ki ga sestavljajo prostor, v katerem se pripravljajo tajni dokumenti, pisarniški prostori Komisije, razmnoževalna grafična oprema in tudi pisarniški prostori za delegacije, kjer je to primerno;

(b)

Varnostno območje razreda I, ki ga sestavlja konferenčna soba ter kabine za tolmače in tonske tehnike;

(c)

Upravna območja, ki jih sestavljajo območje za tisk in tisti deli na kraju sestanka, ki se uporabljajo za upravo, gostinstvo in nastanitev, ter območje, ki neposredno meji na tiskovno središče in kraj sestanka.

23.3.2 Dovolilnice

Uradnik, zadolžen za varnost sestanka (MSO), poskrbi za ustrezne priponke, kakor to zahtevajo delegacije v skladu s svojimi potrebami. Če se zahteva, se lahko uvedejo razlike v dostopu do različnih varnostnih območij.

Varnostna navodila za sestanek od vseh zadevnih oseb zahtevajo, da nosijo in imajo pripete svoje priponke na vidnem mestu ves čas na kraju sestanka, tako da jih lahko po potrebi preveri varnostno osebje.

Z izjemo udeležencev, ki nosijo priponke, je praviloma na kraju sestanka prisotnih čim manj drugih oseb. Uradnik, zadolžen za varnost sestanka (MSO), dovoli le mednarodnim delegacijam, da na podlagi njihove zahteve v času sestanka sprejemajo obiske. Obiskovalci prejmejo priponko z oznako obiskovalca. Dovolilnica obiskovalca/ke se izpolni z imenom obiskovalca/ke in z imenom obiskane osebe. Obiskovalci/ke morajo ves čas biti v spremstvu varnostnika ali obiskane osebe. Spremljajoča oseba nosi dovolilnico obiskovalca, ki jo ob odhodu obiskovalca/ke s kraja sestanka skupaj z obiskovalčevo priponko vrne varnostnemu osebju.

23.3.3 Nadzor fotografske in avdio opreme

Na varnostno območje razreda I ni dovoljeno prinesti nikakršne fotografske ali snemalne opreme, z izjemo opreme, ki jo prinesejo fotografi in tonski tehniki, z dovoljenjem uradnika, zadolženega za varnost sestanka (MSO).

23.3.4 Pregled aktovk, prenosnih računalnikov in paketov

Imetniki dovolilnic, ki jim je dovoljen dostop na varnostno območje, lahko običajno vnašajo svoje aktovke in prenosne računalnike (samo s svojim lastnim napajanjem) brez pregleda. Pri pošiljkah, namenjenih delegacijam, lahko delegacije prevzamejo dostavo pošiljk, ki jih pregleda uradnik za nadzor delegacije, ali so pregledane s posebno opremo ali pa jih odpre varnostno osebje za inšpekcijski pregled. Če nadzorni uradnik sestanka meni, da je potrebno, se lahko določijo strožji ukrepi za inšpekcijski pregled aktovk in pošiljk.

23.3.5 Tehnična varnost

Sejno sobo tehnično zavaruje tehnična varnostna ekipa, ki lahko med samim sestankom izvaja tudi elektronski nadzor.

23.3.6 Dokumenti delegacij

Delegacije so odgovorne za prinašanje in odnašanje tajnih dokumentov EU na sestanke in z njih. Prav tako so odgovorne za potrjevanje in varnost navedenih dokumentov v času njihove uporabe v prostorih, ki so jim dodeljeni. Države članice gostiteljice lahko prosijo za pomoč pri prenosu tajnih dokumentov s kraja sestanka in na kraj sestanka.

23.3.7 Varna hramba dokumentov

Če Komisija ali delegacije ne morejo hraniti svojih tajnih dokumentov v skladu z veljavnimi standardi, lahko dajo dokumente v zapečatene ovojnice v hrambo uradniku, zadolženemu za varnost sestanka, za potrdilo, da lahko le-ta shrani dokumente v skladu z veljavnimi standardi.

23.3.8 Pregled pisarniških prostorov

Uradnik, zadolžen za varnost sestanka, ob koncu vsakega delovnega dne organizira pregled pisarn Komisije in delegacij, da bi zagotovil, da so tajni dokumenti EU hranjeni na varnem mestu. V nasprotnem primeru sprejme ustrezne ukrepe.

23.3.9 Odstranjevanje gradiv v zvezi s tajnimi podatki EU

Z vsem gradivom v zvezi s tajnimi podatki EU se ravna kot z le-temi, koše za smeti ali vreče pa je treba izročiti predstavnikom služb Komisije in delegacij, da jih odstranijo. Pred odhodom iz prostorov, ki so jim bili dodeljeni, predstavniki Komisije in delegacije izročijo vsa odpadna gradiva uradniku, zadolženemu za varnost sestanka, ki uredi vse potrebno za njihovo uničenje v skladu s pravili.

Na koncu sestanka se z vsemi dokumenti, s katerimi razpolagajo predstavniki Komisije in delegacije, vendar jih več ne potrebujejo, ravna kot z odpadnim gradivom. Še preden nehajo veljati varnostni ukrepi, sprejeti za namen sestanka, se opravi temeljit pregled prostorov Komisije in delegacij. Dokumente, za katere je bilo podpisano potrdilo o prejemu, je treba, kolikor je to primerno, uničiti, kot določa oddelek 22.5.

24. KRŠITVE VARNOSTI IN RAZKRITJE TAJNIH PODATKOV EU

24.1 Opredelitve pojmov

Kršitev varnosti nastane kot posledica dejanja ali opustitve dejanja, ki sta v nasprotju z varnostnimi predpisi Komisije, kar bi lahko povzročilo ogrozitev ali razkritje tajnih podatkov EU.

Do razkritja tajnih podatkov EU pride, kadar so ti podatki v celoti ali delno prišli v roke nepooblaščenim osebam, tj. osebam, ki nimajo niti ustreznega varnostnega potrdila niti zanje ne velja „potreba vedeti“ ali kadar gre za možnost, da se je kaj takega že zgodilo.

Tajni podatki EU se lahko razkrijejo zaradi neprevidnosti, malomarnosti ali lahkomiselnosti, razkrijejo pa se lahko tudi z dejavnostmi služb, katerih delovanje je usmerjeno proti EU ali državi članici v zvezi s tajnimi podatki in dejavnostmi EU, ali jih razkrijejo subverzivne organizacije.

24.2 Poročanje o kršitvah varnosti

Vse osebe, ki imajo opravka s tajnimi podatki EU, se temeljito seznanijo s svojimi dolžnostmi v zvezi s tem. O vseh kršitvah varnosti, za katere izvedo, poročajo takoj.

Kadar lokalni varnostni uradnik ali uradnik, zadolžen za varnost sestanka, ugotovita ali sta obveščena o kršitvah varnosti, ki se nanašajo na tajne podatke EU ali izgubo ali izginotje tajnega gradiva EU, takoj ukrepata, da bi:

(a)

zavarovala dokaze;

(b)

ugotovila dejstva;

(c)

ocenila in zmanjšala povzročeno škodo;

(d)

preprečila ponovno kršitev;

(e)

obvestila pristojne organe o posledicah kršitve varnosti.

S tem v zvezi se posredujejo naslednji podatki:

(i)

opis vključenih podatkov, vključno z njihovo stopnjo tajnosti, referenčno številko in številko izvoda, datumom, osebo izvora, predmetom in področjem uporabe;

(ii)

kratek opis okoliščin kršitve varnosti, vključno z datumom in časom, v katerem so bili podatki izpostavljeni razkritju;

(iii)

izjavo, da je bila oseba izvora seznanjena z razkritjem.

Dolžnost vsakega varnostnega organa je, da takoj, ko je obveščen o nastali kršitvi varnosti, o tem poroča ►M3 Direktorat za varnost Komisije ◄ .

O primerih, ki zadevajo podatke ►M2 RESTREINT UE ◄ , je treba poročati le, če so neobičajni.

Ko je član Komisije, pristojen za varnostne zadeve, obveščen o nastali kršitvi varnosti:

(a)

o tem obvesti organ, ki je določil zadevne tajne podatke;

(b)

zaprosi ustrezne varnostne organe, da uvedejo preiskavo;

(c)

usklajuje preiskave, kadar zadevajo več varnostnih organov;

(d)

pridobi poročilo o okoliščinah kršitve, datumu ali času, v katerem se je kršitev zgodila in je bila odkrita, skupaj s podrobnim opisom vsebine in stopnje tajnosti zadevnega gradiva. Poroča se tudi o škodi, povzročeni interesom EU ali ene ali več njenih držav članic in o ukrepih, ki so bili sprejeti za preprečitev ponovitve kršitve.

Organ izvora o tem obvesti naslovnike in posreduje ustrezna navodila.

24.3 Pravna sredstva

Vsaka oseba, ki je odgovorna za razkritje tajnih podatkov EU, je disciplinsko odgovorna v skladu z ustreznimi pravili in predpisi, zlasti z Naslovom VI uslužbenskih predpisov. Takšno ukrepanje ne posega v nobene nadaljnje pravne ukrepe.

Član Komisije, pristojen za varnostne zadeve, v posameznih primerih na podlagi poročila, navedenega v oddelku 24.2, sprejme vse potrebne ukrepe, da bi pristojnim državnim organom omogočil, da sprožijo kazenske postopke.

25. VAROVANJE TAJNIH PODATKOV EU V SISTEMIH INFORMACIJSKE TEHNOLOGIJE IN V KOMUNIKACIJSKIH SISTEMIH

25.1 Uvod

25.1.1 Splošno

Varnostna politika in varnostne zahteve veljajo za vse komunikacijske in informacijske sisteme ter omrežja (v nadaljevanju sistemi), ki obdelujejo podatke s stopnjo tajnosti ►M2 CONFIDENTIEL UE ◄ in z višjo stopnjo tajnosti. Uporabljajo se kot dopolnilo k Sklepu Komisije K(95) 1510 z dne 23. novembra 1995 o varovanju informacijskih sistemov.

Sistemi, ki obdelujejo podatke ►M2 RESTREINT UE ◄ , tudi zahtevajo varnostne ukrepe za varovanje tajnosti navedenih podatkov. Pri vseh sistemih so potrebni varnostni ukrepi za varstvo integritete in razpoložljivosti navedenih sistemov in podatkov, ki jih vsebujejo.

Varnostna politika informacijske tehnologije (IT), ki jo uporablja Komisija, vsebuje naslednje elemente:

—

je sestavni del splošne varnosti in dopolnjuje vse elemente informacijske varnosti, varnosti osebja in materialne varnosti;

—

delitev odgovornosti med imetniki tehničnih sistemov, imetniki tajnih podatkov EU, shranjenih in obdelanih v tehničnih sistemih, strokovnjaki za varstvo informacijske tehnologije (IT) in uporabniki;

—

varnostna načela in zahteve vsakega sistema informacijske tehnologije (IT);

—

odobritev teh načel in zahtev s strani imenovanega organa;

—

upoštevanje posebnih ogrožanj in ranljivosti na področju informacijske tehnologije (IT).

25.1.2 Ogroženost in ranljivost sistemov

Ogroženost se lahko opredeli kot možnost za naključno ali namerno zmanjšanje varnosti. Pri sistemih tako zmanjšanje obsega izgubo ene ali več lastnosti kot so tajnost, celovitost in razpoložljivost. Ranljivost se lahko opredeli kot slabost ali pomanjkanje nadzora, ki lahko pospeši ali omogoči nevarnost za določeno sredstvo ali cilj.

Tajni podatki EU in podatki, ki niso tajni, obdelani v sistemih v koncentrirani obliki, zasnovani za hiter dostop, posredovanje in uporabo, so izpostavljeni mnogim nevarnostim. Te obsegajo dostop nepooblaščenih uporabnikov do podatkov ali, nasprotno, odvzem dostopa pooblaščenim osebam. Obstajajo tudi tveganja nepooblaščenega razkritja, ponarejanja, spreminjanja ali brisanja podatkov. Poleg tega je kompleksna in včasih občutljiva oprema draga ter se pogosto težko popravi ali hitro zamenja.

25.1.3 Glavni namen varnostnih ukrepov

Glavni namen varnostnih ukrepov, navedenih v tem oddelku, je omogočiti varovanje pred nepooblaščenim razkritjem tajnih podatkov EU (izgubo tajnosti) in proti izgubi celovitosti in razpoložljivosti podatkov. Da bi se doseglo ustrezno varovanje sistema, ki obdeluje tajne podatke EU, ►M3 Direktorat za varnost Komisije ◄ določi ustrezne standarde običajne varnosti skupaj z ustreznimi posebnimi varnostnimi postopki in tehnikami, posebno oblikovanimi za vsak sistem.

25.1.4 Opredelitev varnostnih zahtev, ki so specifične za sistem (SSRS)

Za vse sisteme, ki obdelujejo tajne podatke, s stopnjo tajnosti ►M2 CONFIDENTIEL UE ◄ in z višjo stopnjo tajnosti, se zahteva, da imetnik tehničnega sistema (TSO, glej oddelek 25.3.4) in imetnik podatkov (glej oddelek 25.3.5), skupaj s prispevki in pomočjo projektnega osebja in ►M3 Direktorat za varnost Komisije ◄ (v vlogi organa INFOSEC - IA, glej oddelek 25.3.3) in s pooblastilom Službe za akreditacijo varnosti (SAA, glej oddelek 25.3.2), opredelita varnostne zahteve, ki so specifične za sistem (SSRS).

Opredelitev varnostnih zahtev, ki so specifične za sistem (SSRS), se zahteva tudi, kadar Služba za akreditacijo varnosti (SAA) meni, da sta razpoložljivost in celovitost podatkov ►M2 RESTREINT UE ◄ ali podatkov, ki niso tajni, kritični.

Opredelitev varnostnih zahtev, ki so specifične za sistem (SSRS), se pripravi na najzgodnejši stopnji priprave projekta ter se razvije in okrepi v času razvoja projekta, pri tem pa izpolnjuje različne naloge na različnih projektnih stopnjah v celotnem obdobju delovanja sistema.

25.1.5 Načini varnostnega delovanja

Vsi sistemi, v katerih se obdelujejo tajni podatki s stopnjo tajnosti ►M2 CONFIDENTIEL UE ◄ in z višjo stopnjo tajnosti, smejo delovati na en sam način ali, kjer je to odobreno z zahtevami v različnih časovnih obdobjih, na več kakor enega od naslednjih načinov varnostnega delovanja ali na način, ki ga določa posamezna država članica, če je enakovreden:

(a)

dedicated

(b)

system high, in

(c)

multi-level.

25.2 Opredelitve pojmov

„Akreditacija“ pomeni: pooblastilo in dovoljenje, dano sistemu za obdelavo tajnih podatkov EU v svojem operativnem okolju.

Opomba:

Takšna akreditacija se da po izvedbi vseh ustreznih varnostnih postopkov in ko je dosežena zadostna stopnja varovanja sistemskih virov. Akreditacija se običajno opravi v skladu z varnostnimi zahtevami, ki so specifične za sistem (SSRS), vključno z:

(a)

določitvijo cilja akreditacije za sistem; zlasti katera stopnja ali stopnje tajnosti podatkov se obdelujejo in kateri način ali načini sistemske ali omrežne varnosti se predlagajo;

(b)

priprava pregleda obvladovanja tveganja za namen prepoznavanja nevarnosti in ranljivosti ter ukrepi za njihovo preprečevanje;

(c)

varnostni postopki obratovanja (SecOPs) s podrobnim opisom predlaganih operacij (npr. načini, storitve, ki jih je treba zagotoviti) in vključno z opisom lastnosti sistemske varnosti, ki predstavlja podlago za akreditacije;

(d)

načrt izvajanja in vzdrževanja varnostnih lastnosti;

(e)

načrt začetnega in nadaljevalnega preizkusa, ocene in potrditve sistemske in omrežne varnosti, ter

(f)

certificiranje, kjer se to zahteva, skupaj z drugimi elementi akreditacije.

„Varnostni uradnik za centralno informatiko“ (CISO) je uradnik v centralni službi informacijske tehnologije, ki usklajuje in nadzoruje varnostne ukrepe v centralno organiziranih sistemih.

„Certificiranje“ pomeni: izdajo uradnega potrdila na podlagi neodvisnega pregleda izvajanja in rezultatov ocenjevanja, obsega, do katerega sistem izpolnjuje varnostne zahteve, ali do katerega računalniški varnostni produkt izpolnjuje vnaprej opredeljene varnostne zahteve.

„Komunikacijska varnost“ (COMSEC) pomeni: uporabo varnostnih ukrepov na področju telekomunikacij za preprečevanje dostopa nepooblaščenim osebam do pomembnih podatkov, ki bi se lahko pridobili s posedovanjem ali preučevanjem takšnih telekomunikacij, ali za zagotovitev verodostojnosti teh telekomunikacij.

Opomba:

To so ukrepi za kriptografsko varnost, varnost prenosov in varnost oddajanja; to so tudi ukrepi za proceduralno in materialno varnost, varnost osebja, dokumentov ter računalniško varnost.

„Računalniška varnost“ (COMPUSEC) pomeni: uporabo varnostnih elementov strojne opreme, sistemskih programov in programske opreme v računalniškem sistemu za varovanje pred nepooblaščenim razkritjem, manipulacijo, spreminjanjem/brisanjem podatkov ali izpadom sistema ali preprečitvijo le-tega.

„Računalniški varnostni produkt“ pomeni: produkt za računalniško varnost, ki je namenjen vključitvi v sistem informacijske tehnologije (IT) za uporabo pri izboljšanju ali zagotavljanju tajnosti, celovitosti ali razpoložljivosti obdelanih podatkov.

Namenski varnostni način delovanja pomeni: način delovanja, pri katerem so VSI posamezniki, ki imajo dostop do sistema, varnostno preverjeni do najvišje stopnje tajnosti podatkov, ki se v sistemu obdelujejo in za katere velja splošna „potreba vedeti“ za VSE podatke, ki se v sistemu obdelujejo.

Opombe:

(1) Splošna „potreba vedeti“ pomeni, da ni obvezne zahteve za varnostne značilnosti računalnikov za zagotavljanje ločevanja podatkov znotraj sistema.

(2) Druge varnostne lastnosti (na primer materialna varnost, varnost osebja in proceduralna varnost) se prilagodijo zahtevam za najvišjo stopnjo tajnosti in za vse oznake kategorij podatkov, ki se obdelujejo v sistemu.

„Ocenjevanje“ pomeni: podroben tehničen pregled varnostnih vidikov sistema, kriptografskega produkta ali računalniškega varnostnega produkta, ki ga opravi pristojen organ.

Opombe:

(1) Pri ocenjevanju se preverja prisotnost zahtevane varnostne funkcionalnosti in odsotnost negativnih stranskih učinkov takšne funkcionalnosti ter ocenjuje možnost vplivanja na takšno funkcionalnost.

(2) Z ocenjevanjem se določi obseg izpolnitve varnostnih zahtev sistema ali varnostnih zahtev računalniškega varnostnega produkta ter določi stopnja zanesljivosti sistema ali zanesljivega delovanja kriptografskega produkta ali produkta računalniške varnosti.

„Imetnik podatka“ (IO) je organ (vodja službe), ki je pristojen za oblikovanje, obdelavo in uporabo podatkov, vključno z odločanjem o tem, komu se dovoli dostop do podatkov.

„Varnost podatkov“ (INFOSEC) pomeni: uporabo varnostnih ukrepov za varovanje podatkov, ki se obdelujejo, hranijo ali prenašajo v komunikacijskih, informacijskih in drugih elektronskih sistemih, pred izgubo tajnosti, celovitosti ali razpoložljivosti, bodisi naključne bodisi namerne, ter za preprečitev izgube celovitosti in razpoložljivosti samih sistemov.

„Ukrepi INFOSEC“ vključujejo ukrepe računalniške varnosti, varnosti prenosa, oddajanja in kriptografske varnosti, ter odkrivanje, dokumentiranje in preprečevanje ogroženosti podatkov in sistemov.

„Območje informacijske tehnologije (IT)“ pomeni: območje, ki vsebuje enega ali več računalnikov, njihove lokalne periferne in shranjevalne enote, enote za nadzor in njim podrejena omrežja ter komunikacijsko opremo.

Opomba:

Sem ne spada ločeno območje, v katerem so oddaljene periferne naprave ali terminali/delovne postaje, četudi so te naprave povezane z opremo na območju informacijske tehnologije (IT).

„Omrežje informacijske tehnologije (IT)“ pomeni: geografsko razširjeno organizacijo sistemov informacijske tehnologije (IT), ki so med seboj povezani zaradi izmenjave podatkov in ki vključujejo sestavne dele med seboj povezanih sistemov informacijske tehnologije (IT) ter njihov vmesnik s podpirajočimi podatkovnimi ali komunikacijskimi omrežji.

Opombe:

(1) Omrežje informacijske tehnologije (IT) lahko uporabi storitve enega ali več med seboj povezanih komunikacijskih omrežij za izmenjavo podatkov; več omrežij informacijske tehnologije (IT) lahko uporabi storitve skupnega komunikacijskega omrežja.

(2) Omrežje informacijske tehnologije (IT) se označi za „lokalno“, če povezuje več računalnikov na isti lokaciji.

„Varnostne lastnosti omrežja informacijske tehnologije (IT)“ vključujejo varnostne lastnosti posameznih sistemov informacijske tehnologije (IT), ki sestavljajo omrežje skupaj s tistimi dodatnimi komponentami in lastnostmi, povezanimi z omrežjem kot takim (na primer komunikacije omrežij, mehanizmi in postopki varnostnega prepoznavanja in označevanja, kontrole dostopa, programi in revizijske sledi), ki so potrebne zaradi zagotavljanja sprejemljive stopnje varovanja tajnih podatkov.

„Sistem informacijske tehnologije (IT)“ pomeni: celoto opreme, metod in postopkov in, če je potrebno, osebja, organiziranega za opravljanje nalog v zvezi z obdelavo podatkov.

Opombe:

(1) To pomeni celoto naprav, konfiguriranih za obdelavo podatkov znotraj sistema.

(2) Takšni sistemi lahko služijo v podporo posvetovanju, vodenju, nadzoru, komunikacijam, znanstvenim ali administrativnim aplikacijam, vključno z obdelovanjem besedil.

(3) Meje sistema so na splošno določene kot elementi, ki so pod nadzorom enega samega imetnika tehničnega sistema.

(4) Sistem informacijske tehnologije (IT) lahko vsebuje podsisteme, od katerih so nekateri tudi sami sistemi informacijske tehnologije (IT).

„Varnostne lastnosti sistema informacijske tehnologije (IT)“ obsegajo vse funkcije, značilnosti in lastnosti strojne opreme/sistemskih programov/programske opreme; obratovalne postopke, postopke odgovornosti in kontrole dostopa, območje informacijske tehnologije (IT), oddaljena območja terminalov/delovnih postaj in okvir upravljanja, fizično strukturo in naprave, nadzor nad osebjem in komunikacijami, potreben za zagotavljanje sprejemljive stopnje varovanja tajnih podatkov, ki se obdelujejo znotraj sistema informacijske tehnologije (IT).

„Varnostni uradnik za lokalno informatiko“ (LISO) je uradnik v službi Komisije, ki je pristojen za koordinacijo in nadzor varnostnih ukrepov na svojem področju.

„Varnostni način delovanja na več stopnjah“ pomeni: način delovanja, pri katerem NISO VSI posamezniki, ki imajo dostop do sistema, varnostno preverjeni do najvišje stopnje tajnosti podatkov, ki se v tem sistemu obdelujejo, ter kjer splošna „potreba vedeti“ za podatke, ki se v sistemu obdelujejo, NE velja za VSE osebe, ki imajo dostop do sistema.

Opombe:

(1) Ta način delovanja trenutno dovoljuje obdelavo podatkov različnih stopenj tajnosti in različnih oznak kategorij podatkov.

(2) Dejstvo, da vse osebe niso upravičene do dostopa do podatkov z najvišjo stopnjo tajnosti in da za vse osebe ne velja „potreba vedeti“, pomeni, da se pri varnostnih lastnostih računalnikov zahteva, da zagotovijo selektiven dostop do in ločevanje podatkov znotraj sistema.

„Dislocirano območje terminala/delovne postaje“ pomeni: območje, kjer so računalniška oprema, njene lokalne periferne naprave ali terminali/delovne postaje ter vsa pripadajoča komunikacijska oprema, ki je ločeno od območja informacijske tehnologije (IT).

„Varnostni postopki obratovanja“ so postopki imetnika tehničnih sistemov, ki določajo načela, ki jih je treba sprejeti glede varnostnih zadev, obratovalne postopke, po katerih je treba delovati ter dolžnosti osebja.

„Varnostni način delovanja SYSTEM-HIGH“ je način delovanja, pri katerem so VSI posamezniki, ki imajo dostop do sistema, varnostno preverjeni do najvišje stopnje tajnosti podatkov, ki se v tem sistemu obdelujejo, vendar kjer splošna potreba vedeti glede podatkov, ki se v sistemu obdelujejo, NE velja za VSE posameznike, ki imajo dostop do sistema.

Opombe:

(1) Ker nimajo vsi uporabniki splošne „potrebe vedeti“ pomeni, da se pri varnostnih lastnostih računalnika zahteva, da zagotavljajo selektiven dostop do ali ločevanje podatkov znotraj sistema.

(2) Druge varnostne lastnosti (na primer, materialna varnost, varnost osebja in proceduralna varnost) se prilagodijo zahtevam za najvišjo stopnjo tajnosti in vse oznake kategorij podatkov, obdelanih znotraj sistema.

(3) Vsi podatki, ki se obdelujejo ali so na razpolago sistemu v tem načinu delovanja skupaj z ustvarjenimi izhodnimi podatki, se zavarujejo, dokler ni drugače določeno, kakor da bi spadali pod oznako kategorij podatkov in v najvišjo stopnjo tajnosti, razen če ni za vsako prisotno funkcionalnost označevanja na voljo sprejemljiva raven zanesljivosti.

„Opredelitev varnostnih zahtev, ki so specifične za sistem“ (SSRS), je popolna in izključna opredelitev varnostnih načel, ki jih je treba upoštevati, in podrobnih varnostnih zahtev, ki jih je treba izpolniti. Temelji na varnostni politiki Komisije in oceni tveganja ali pa jo oblikujejo parametri, ki zajemajo operacijsko okolje, najnižjo stopnjo varnostnega preverjanja osebja, najvišjo stopnjo tajnosti obdelanih podatkov, varnostni način delovanja ali zahteve za uporabnike. Opredelitev varnostnih zahtev, ki so specifične za sistem (SSRS), je sestavni del dokumentacije projekta, ki se predloži pristojni službi za tehnično, proračunsko in varnostno odobritev. V svoji končni obliki opredelitev varnostnih zahtev, ki so specifične za sistem (SSRS), pomeni popolno opredelitev varnega sistema.

„Imetnik tehničnih sistemov“ (TSO) je služba, ki je pristojna za oblikovanje, vzdrževanje, delovanje in zapiranje sistema.

Protiukrepi „TEMPEST“: so varnostni ukrepi, namenjeni varovanju opreme in komunikacijske infrastrukture proti ogrožanju tajnih podatkov s strani nenamernih elektromagnetnih oddajanj in s prevodnostjo.

25.3 Pristojnosti na področju varnosti

25.3.1 Splošno

Med naloge svetovalne skupine za varnostno politiko Komisije, opredeljene v oddelku 12, sodijo zadeve INFOSEC. Ta skupina organizira svoje dejavnosti tako, da lahko zagotavlja strokovno svetovanje o zgoraj navedenih zadevah.

►M3 Direktorat za varnost Komisije ◄ je pristojen za sprejem podrobnejših predpisov o INFOSEC na podlagi določb tega poglavja.

V primeru problemov v zvezi z varnostjo (nezgode, kršitve itd.) ►M3 Direktorat za varnost Komisije ◄ takoj ukrepa.

►M3 Direktorat za varnost Komisije ◄ ima enoto INFOSEC.

25.3.2 Služba za akreditacijo varnosti (SAA)

►M3 Direktor Direktorata za varnost Komisije ◄ vodi službo za akreditacijo varnosti (SAA) za Komisijo. Služba za akreditacijo varnosti (SAA) je pristojna na splošnem področju varnosti in na specializiranih področjih INFOSEC, komunikacijske varnosti, varnosti kripto in varnosti tempest.

Služba za akreditacijo varnosti (SAA) je pristojna za zagotovitev skladnosti sistemov z varnostno politiko Komisije. Ena od njenih nalog je izdati sistemu odobritev za obdelavo tajnih podatkov EU do določene stopnje tajnosti v svojem operativnem okolju.

Pristojnost službe za akreditacijo varnosti (SAA) Komisije zajema vse delujoče sisteme znotraj prostorov Komisije. Kadar različne komponente sistema pridejo v pristojnost Službe za akreditacijo varnosti (SAA) Komisije in drugih služb za akreditacijo varnosti (SAA), lahko vse zadevne stranke imenujejo skupen odbor za akreditacijo, katerega usklajevanje vodi Služba za akreditacijo varnosti Komisije.

25.3.3 Služba INFOSEC (IA)

Vodja enote INFOSEC Varnostnega urada Komisije vodi službo INFOSEC za Komisijo. Služba INFOSEC je pristojna za:

—

strokovno svetovanje in pomoč službam za akreditacijo varnosti (SAA);

—

pomoč pri pripravi opredelitve varnostnih zahtev, ki so specifične za sisteme (SSRS);

—

pregled opredelitve varnostnih zahtev, ki so specifične za sisteme (SSRS), za zagotovitev skladnosti s temi varnostnimi pravili in dokumenti o politiki in zasnovi INFOSEC;

—

udeležba v akreditacijskih skupinah/odborih, kot je zahtevano, ter posredovanje priporočil glede akreditacije INFOSEC službi za akreditacijo varnosti (SAA);

—

podpora dejavnostim usposabljanja in izobraževanja INFOSEC;

—

strokovno svetovanje pri preiskavah nezgod, povezanih z INFOSEC;

—

pripravo tehnično-strateških navodil, da bi se zagotovila uporaba samo odobrene programske opreme.

25.3.4 Imetnik tehničnih sistemov (TSO)

Za izvedbo ter delovanje nadzora in posebnih varnostnih lastnosti sistema je pristojen imetnik sistema, imenovan Imetnik tehničnega sistema (TSO). Za centralne sisteme je imenovan varnostni uradnik za centralno informatiko (CISO). Vsaka služba, če je potrebno, imenuje varnostnega uradnika za lokalno informatiko (LISO). Imetnik tehničnega sistema (TSO) je pristojen tudi za določitev varnostnih postopkov obratovanja (SecOPs), ta pristojnost pa velja v celotnem obdobju delovanja sistema od stopnje zasnove projekta do dokončne ukinitve.

Imetnik tehničnega sistema (TSO) določi varnostne standarde in prakse, ki jih mora izpolniti dobavitelj sistema.

Imetnik tehničnega sistema (TSO) lahko prenese del svojih nalog, če je potrebno, varnostnemu uradniku za lokalno informatiko (LISO). Ena sama oseba lahko izvaja različne funkcije INFOSEC.

25.3.5 Imetnik podatkov (IO)

Imetnik podatkov (IO) je odgovoren za tajne podatke EU (in druge podatke), ki jih je treba uvesti, obdelati in izdelati v tehničnih sistemih. Imetnik podatkov opredeli zahteve za dostop do teh podatkov v sistemih. To pristojnost lahko prenese na upravitelja podatkov ali upravitelja podatkovne baze znotraj svojega področja.

25.3.6 Uporabniki

Vsi uporabniki so dolžni ravnati tako, da njihova dejanja ne ogrožajo varnosti sistema, ki ga uporabljajo.

25.3.7 Usposabljanje INFOSEC

Izobraževanje in usposabljanje INFOSEC je na razpolago celotnemu osebju, ki ga potrebuje.

25.4 Netehnični varnostni ukrepi

25.4.1 Varnost osebja

Uporabniki sistema morajo opraviti varnostno preverjanje in imeti „potrebo vedeti“, kakor je to primerno za stopnjo tajnosti in vsebino podatkov, ki se obdelujejo znotraj določenega sistema. Za dostop do nekatere opreme ali podatkov, značilnih za varnost sistemov, je potrebno posebno pooblastilo, izdano po predpisanem postopku Komisije.

Služba za akreditacijo varnosti (SAA) določi vsa občutljiva mesta in opredeli stopnjo odobritve in nadzora, ki se zahteva za celotno osebje, ki mesta zaseda.

Sistemi se določijo in opredelijo tako, da se olajša porazdelitev nalog in odgovornosti med osebje, s čimer se prepreči, da bi samo ena oseba vedela vse o ključnih točkah varnosti sistema ali imela nad njimi popoln nadzor.

Območja informacijske tehnologije (IT) in dislocirana območja terminalov/delovnih postaj, v katerih je mogoče spreminjati varnost sistema, ne zaseda samo en pooblaščen uradnik ali drug uslužbenec.

Varnostne nastavitve sistema spreminjata najmanj dve pooblaščeni osebi v medsebojnem sodelovanju.

25.4.2 Materialna varnost

Območja informacijske tehnologije (IT) in dislocirana območja terminalov/delovnih postaj (kot so opredeljena v oddelku 25.2), v katerih se s sredstvi informacijske tehnologije (IT) obdelujejo podatki s stopnjo tajnosti ►M2 CONFIDENTIEL UE ◄ in z višjo stopnjo, ali kjer je omogočen potencialni dostop do teh podatkov, se opredelijo kot varnostna območja EU razreda I ali razreda II.

25.4.3 Nadzor dostopa do sistema

Vsi podatki in gradivo, ki omogočajo nadzor dostopa do sistema, se zavarujejo z ukrepi, ki so sorazmerni z najvišjo stopnjo tajnosti in oznako stopnje tajnosti podatkov, do katere se dostop lahko dovoli.

Podatki in gradivo za nadzor dostopa do podatkov se, kadar ne služijo več temu namenu, uničijo v skladu z določbami iz oddelka 25.5.4.

25.5 Tehnični varnostni ukrepi

25.5.1 Varnost podatkov

Dolžnost osebe izvora podatkov je, da opredeli in razvrsti vse dokumente, ki so nosilci podatkov, bodisi na papirju ali na računalniškem nosilcu shranjevanja. Vsaka stran izpisa na papirju je zgoraj in spodaj označena s stopnjo tajnosti. Izpis, bodisi na papirju ali na računalniškem shranjevalnem nosilcu, ima enako stopnjo tajnosti, kakor je najvišja stopnja tajnosti podatkov, ki se uporabljajo pri njihovi izdelavi. Način delovanja sistema lahko vpliva tudi na stopnjo tajnosti izdaj tega sistema.

Dolžnost služb Komisije in njihovih imetnikov podatkov je upoštevati težave kopičenja posameznih elementov podatkov in sklepov, ki jih je mogoče pridobiti iz sorodnih elementov, ter določiti, ali je višja stopnja tajnosti ustrezna za celoto podatkov ali ne.

Dejstvo, da so lahko podatki v obliki okrajšane kode, kode prenosa ali v kakršnikoli obliki binarnega prikaza, ne zagotavlja varnosti in zaradi tega ne sme vplivati na stopnjo tajnosti podatkov.

Kadar se podatki prenesejo iz enega sistema v drugega, se zavarujejo med prenosom in v sprejemnem sistemu na način, ki je sorazmeren z originalno stopnjo tajnosti in kategorijo podatkov.

Vsi računalniški nosilci podatkov se obravnavajo na način, ki je v sorazmerju z najvišjo stopnjo tajnosti shranjenih podatkov ali oznake nosilcev in morajo biti vedno ustrezno zavarovani.

Računalniški nosilci shranjevanja za ponovno uporabo, ki se uporabljajo za zapisovanje tajnih podatkov EU, ohranijo najvišjo stopnjo tajnosti, za katero so bili kadarkoli uporabljeni, vse dokler navedenim podatkom ni ustrezno znižana ali odpravljena stopnja tajnosti in nosilcem ustrezno ponovno določena stopnja tajnosti ali dokler nosilcem ni odpravljena stopnja tajnosti ali pa dokler nosilci niso uničeni v skladu s postopkom, ki ga določi Služba za akreditacijo varnosti (SAA) (glej 25.5.4).

25.5.2 Nadzor in vknjižba podatkov

Evidenca dostopa do tajnih podatkov s stopnjo ►M2 SECRET UE ◄ in z višjo stopnjo, se vodi avtomatsko (revizijska sled) ali z ročnimi vpisi v vpisnik. Ta evidenca se hrani v skladu s tem pravilnikom.

Izhodni izpisi tajnih podatkov EU, hranjeni znotraj področja informacijske tehnologije (IT), se lahko obravnavajo kot eno tajno gradivo in jih ni treba vpisovati v vpisnik, pod pogojem, da je to gradivo prepoznavno opredeljeno, označeno s svojo stopnjo tajnosti in pod primernim nadzorom.

Kadar izhodni izpisi pridejo iz sistema, ki obdeluje tajne podatke EU, in se prenesejo na območje terminala/delovne postaje, ki je dislocirano od področja informacijske tehnologije (IT), se s soglasjem Službe za akreditacijo varnosti (SAA) določijo postopki za nadzor in registracijo izdanih podatkov. Za podatke s stopnjo ►M2 SECRET UE ◄ in z višjo stopnjo takšni postopki vključujejo posebna navodila za vknjižbo podatkov.

25.5.3 Ravnanje z računalniškimi nosilci podatkov in nadzor nad njimi

Z vsemi računalniškimi nosilci podatkov s stopnjo ►M2 CONFIDENTIEL UE ◄ in z višjo stopnjo se ravna kot z gradivom, pri čemer veljajo splošna pravila. Identifikacijske oznake in oznake stopenj tajnosti se zaradi jasne prepoznave prilagodijo specifičnemu fizičnemu izgledu nosilca.

Uporabniki so dolžni zagotoviti, da so tajni podatki EU shranjeni na nosilcih skupaj z ustrezno oznako stopnje tajnosti in zavarovani. Določijo se postopki, da se za vse stopnje tajnosti podatkov EU zagotovi, da je shranjevanje podatkov na računalniškem nosilcu podatkov opravljeno v skladu s tem pravilnikom.

25.5.4 Odprava stopenj tajnosti in uničenje računalniških nosilcev podatkov

Računalniškim nosilcem podatkov, uporabljenim za evidentiranje tajnih podatkov EU, se lahko znižajo ali odpravijo stopnje tajnosti v skladu s postopkom, ki ga določi Služba za akreditacijo varnosti (SAA).

Računalniškim nosilcem podatkov, na katerih so bili shranjeni podatki ►M2 TRES SECRET UE/EU TOP SECRET ◄ ali posebna kategorija podatkov, se stopnja tajnosti ne odpravi niti se ponovno ne uporabijo.

Če računalniškemu nosilcu podatkov ni mogoče odpraviti stopnje tajnosti ali če ni namenjen ponovni uporabi, se uniči v skladu z zgoraj navedenim postopkom.

25.5.5 Varnost komunikacij

►M3 Direktor Direktorata za varnost Komisije ◄ je pristojen za Kripto.

Kadar se tajni podatki EU prenašajo po elektromagnetni poti, se izvajajo posebni ukrepi za varovanje tajnosti, celovitosti in razpoložljivosti takšnih prenosov. Služba za akreditacijo varnosti (SAA) določi zahteve za varstvo prenosov pred odkritjem in prekinitvijo. Podatki, ki se prenašajo po komunikacijskem sistemu, se varujejo na podlagi zahtev po tajnosti, celovitosti in razpoložljivosti.

Kadar so zahtevane kriptografske metode za zagotavljanje tajnosti, celovitosti in razpoložljivosti, takšne metode in z njimi povezane produkte posebej za ta namen odobri Služba za akreditacijo varnosti (SAA) v funkciji službe Kripto.

Med prenosom se tajnost podatkov s stopnjo tajnosti ►M2 SECRET UE ◄ in z višjo stopnjo zavaruje s kriptografskimi metodami ali produkti, ki jih odobri član Komisije, pristojen za varnostne zadeve, po posvetu s Svetovalno skupino za varnostno politiko Komisije. Med prenosom se tajnost podatkov s stopnjo tajnosti ►M2 CONFIDENTIEL UE ◄ ali ►M2 RESTREINT UE ◄ , zavaruje s kriptografskimi metodami ali produkti, ki jih odobri služba Kripto pri Komisiji po posvetu s Svetovalno skupino za varnostno politiko Komisije.

Podrobna pravila, ki veljajo za prenos tajnih podatkov EU, se določijo v posebnih varnostnih navodilih, ki jih sprejme ►M3 Direktorat za varnost Komisije ◄ po posvetu s Svetovalno skupino za varnostno politiko Komisije.

V izjemnih delovnih okoliščinah se lahko podatki s stopnjo tajnosti ►M2 RESTREINT UE ◄ , ►M2 CONFIDENTIEL UE ◄ in ►M2 SECRET UE ◄ prenesejo kot čisto besedilo, pod pogojem, da vsak tak primer izrecno odobri in ustrezno registrira imetnik podatkov (IO). Do takšnih izjemnih okoliščin pride:

(a)

v času preteče ali dejanske krize, spopada ali vojnih razmer, in

(b)

kadar je hitrost dostave največjega pomena, sredstva kodiranja pa niso na voljo in se ocenjuje, da prenesenih podatkov ni mogoče pravočasno izkoristiti za negativno vplivanje na potek operacij.

Sistem mora biti sposoben onemogočiti dostop do tajnih podatkov EU v katerem koli ali v vseh dislociranih delovnih postajah ali terminalih, če jih je treba izključiti na fizičen način ali s pomočjo posebnih elementov programske opreme, ki jih odobri Služba za akreditacijo varnosti (SAA).

25.5.6 Varnost v zvezi z namestitvijo in sevanjem

Začetna postavitev sistemov in vse večje spremembe v zvezi z njo se določijo tako, da postavitev izvajajo varnostno preverjeni delavci pod stalnim nadzorstvom tehnično usposobljenega osebja, ki je varnostno preverjeno glede dostopa do tajnih podatkov EU na stopnji, ki je enaka najvišji stopnji tajnosti, ki jo bo sistem predvidoma hranil in obdeloval.

Sistemi, v katerih se obdelujejo podatki s stopnjo tajnosti ►M2 CONFIDENTIEL UE ◄ in z višjo stopnjo, se varujejo tako, da njihove varnosti ne morejo ogroziti nevarna sevanja in/ali prevodnost, katerih preučevanje in nadzor se označi kot „Tempest“.

Protiukrepe Tempest pregleda in odobri služba Tempest (glej 25.3.2).

25.6 Varnost med obdelavo

25.6.1 Varnostni postopki delovanja (SecOPs)

Varnostni postopki delovanja (SecOPs) opredeljujejo načela, ki jih je treba sprejeti v zvezi z varnostnimi zadevami, operativne postopke, ki jih je treba opravljati, ter odgovornosti osebja. Varnostni postopki delovanja se določijo v okviru pristojnosti imetnika tehničnih sistemov (TSO).

25.6.2 Varovanje programske opreme/upravljanje konfiguracije

Varovanje uporabniških programov se vzpostavi na podlagi ocene stopnje tajnosti samega programa in ne na podlagi stopnje tajnosti podatkov, ki jih obdeluje. Uporabljene različice programske opreme se potrdijo v rednih časovnih obdobjih, da bi se zagotovila njihova celovitost in pravilno delovanje.

Nove ali spremenjene različice programske opreme se ne uporabljajo za obdelovanje tajnih podatkov EU, dokler jih ne potrdi imetnik tehničnih sistemov (TSO).

25.6.3 Preverjanje prisotnosti škodljive programske opreme/računalniških virusov

Preverjanje prisotnosti škodljive programske opreme/računalniških virusov se izvaja redno v skladu z zahtevami Službe za akreditacijo varnosti (SAA).

Preden se računalniški nosilci podatkov vključijo v katerikoli sistem, se na njih, ko prispejo v Komisijo, preveri prisotnost kakršne koli škodljive programske opreme ali računalniških virusov.

25.6.4 Vzdrževanje

Pogodbe in postopki časovno načrtovanega in pravočasnega vzdrževanja sistemov, za katere je bila pripravljena opredelitev varnostnih zahtev, ki so specifične za sistem (SSRS), določajo zahteve in dogovore za vzdrževalno osebje in z njimi povezano opremo, ki vstopa na območje informacijske tehnologije (IT).

Zahteve so jasno navedene v opredelitvi varnostnih zahtev, ki so specifične za sistem (SSRS), postopki pa se jasno določijo v varnostnih postopkih delovanja (SecOPs). Pogodbeno vzdrževanje, ki zahteva postopke diagnosticiranja oddaljenega dostopa, se dovoli le v izjemnih okoliščinah pod strogim varnostnim nadzorom in le z dovoljenjem Službe za akreditacijo varnosti (SAA).

25.7 Naročila

25.7.1 Splošno

Vsak varnostni produkt, ki ga je treba naročiti za uporabo v sistemu, mora biti ocenjen in certificiran ali biti v postopku ocenjevanja in certificiranja s strani ustreznega ocenjevalnega organa ali organa za certificiranje po mednarodno priznanih merilih (npr. Skupna merila za varnostno ocenitev informacijske tehnologije (IT), glej ISO 15408). V posebnem postopku je treba pridobiti soglasje Svetovalnega odbora za naročila in pogodbe (ACPC).

Pri presoji, ali naj se oprema, zlasti računalniški nosilci podatkov, najamejo ali kupijo, je treba upoštevati, da takšne opreme, ki je bila enkrat že uporabljena za obdelavo tajnih podatkov EU, ni mogoče odnesti iz ustrezno zavarovanega okolja brez predhodne odprave stopnje tajnosti z odobritvijo Službe za akreditacijo varnosti (SAA), ter da takšna odobritev ni vedno možna.

25.7.2 Akreditacija

Vse sisteme, za katere so bile določene varnostne zahteve, ki so specifične za sistem (SSRS), pred obdelavo tajnih podatkov EU akreditira Služba za akreditacijo varnosti (SAA) na podlagi podatkov iz opredelitve varnostnih zahtev, ki so specifične za sistem (SSRS), varnostnih postopkov delovanja (SecOPs) in vse druge ustrezne dokumentacije. Podsistemi in dislocirani terminali/delovne postaje se akreditirajo kot del vseh sistemov, s katerimi so povezani. Kadar sistem uporablja Komisija in druge organizacije, se Komisija in pristojni varnostni organi dogovorijo o akreditaciji.

Postopek akreditacije se lahko izvede v skladu s strategijo akreditacije, ki ustreza določenemu sistemu in ga določi Služba za akreditacijo varnosti (SAA).

25.7.3 Ocenjevanje in certificiranje

Pred akreditacijo se v nekaterih primerih varnostne lastnosti strojne opreme, sistemskih programov in programske opreme ocenijo in certificirajo glede zmožnosti varovanja podatkov na predvideni stopnji tajnosti.

Zahteve za ocenitev in certificiranje se vključijo v načrtovanje sistema in se jasno navedejo v opredelitvi varnostnih zahtev, ki so specifične za sistem (SSRS).

Postopki ocenjevanja in certificiranja se izvedejo v skladu s sprejetimi smernicami, izvaja pa jih tehnično usposobljeno in varnostno preverjeno osebje, ki deluje v imenu imetnika tehničnih sistemov (TSO).

Osebje lahko da na voljo pristojna služba za ocenjevanje in certificiranje države članice ali njeni imenovani predstavniki, na primer pristojni in varnostno preverjeni pogodbeni partner.

Postopki ocenjevanja in certificiranja se lahko skrajšajo (na primer tako, da zajemajo samo vidike integracije), kadar sistemi temeljijo na obstoječih nacionalno ocenjenih in certificiranih računalniških varnostnih produktih.

25.7.4 Redno preverjanje varnostnih značilnosti za kontinuirano akreditacijo

Imetnik tehničnih sistemov (TSO) določi postopke rednega nadzora, ki zagotavlja vse varnostne lastnosti sistema.

Vrste sprememb, ki bi sprožile ponovno akreditacijo ali zahtevale predhodno odobritev službe za akreditacijo varnosti (SAA), se jasno opredelijo in navedejo v opredelitvi varnostnih zahtev, ki so specifične za sistem (SSRS). Po vsaki spremembi, popravilu ali napaki, ki bi lahko vplivala na varnostne lastnosti sistema, imetnik tehničnih sistemov (TSO) zagotovi, da je opravljen pregled za zagotovitev varnostnih lastnosti. Kontinuirana akreditacija sistema je praviloma odvisna od pozitivne ocene pregledov.

Vse sisteme, ki imajo varnostne lastnosti, redno pregleda ali preveri Služba za akreditacijo varnosti (SAA). V zvezi s sistemi, ki obdelujejo podatke s stopnjo tajnosti ►M2 TRES SECRET UE/EU TOP SECRET ◄ , se izvedejo pregledi najmanj enkrat letno.

25.8 Začasna ali občasna uporaba

25.8.1 Varnost mikroračunalnikov/osebnih računalnikov

Mikroračunalniki/osebni računalniki (PC-ji) z vgrajenimi diski (ali drugimi nosilci s trajnim shranjevanjem), ki delujejo bodisi samostojno ali so mrežno konfigurirani, ter prenosne računalniške naprave (na primer prenosni osebni računalniki in elektronski „notesniki“) z vgrajenimi trdimi diski, se upoštevajo kot nosilci podatkov v istem pomenu kakor računalniške diskete ali drugi računalniški nosilci podatkov.

Za to opremo se zagotovi stopnja varovanja v smislu dostopa, obdelave, shranjevanja in prenosa, ki je sorazmerna z najvišjo stopnjo tajnosti podatkov, ki so bili kdaj koli shranjeni ali obdelovani (do znižanja ali odprave stopnje tajnosti v skladu z odobrenimi postopki).

25.8.2 Uporaba zasebne opreme IT za delo v službene namene Komisije

Uporaba zasebnih računalniških nosilcev podatkov, programske opreme in strojne opreme informacijske tehnologije (IT) (na primer osebnih računalnikov in prenosnih računalniških naprav), ki imajo zmogljivost shranjevanja, za obdelavo tajnih podatkov EU ni dovoljena.

Strojna oprema, programska oprema in nosilci v zasebni lasti se ne vnašajo na območja razreda I ali razreda II, kjer se obdelujejo tajni podatki EU, brez pisnega dovoljenja ►M3 direktor Direktorata za varnost Komisije ◄ . Ta odobritev se lahko zagotovi le iz tehničnih razlogov v izjemnih primerih.

25.8.3 Uporaba opreme IT, ki je v lasti izvajalca ali države članice, za delo v službene namene Komisije

Uporabo opreme informacijske tehnologije (IT), ki je v lasti izvajalca, in programske opreme v organizacijah za podporo pri delu v službene namene Komisije lahko dovoli ►M3 direktor Direktorata za varnost Komisije ◄ . Prav tako se lahko dovoli uporaba opreme informacijske tehnologije (IT) in programske opreme države članice; v tem primeru se oprema informacijske tehnologije (IT) prenese pod nadzor ustreznega inventurnega popisa Komisije. Če je treba opremo informacijske tehnologije (IT) uporabiti za obdelavo tajnih podatkov EU, se je treba v obeh primerih posvetovati s Službo za akreditacijo varnosti (SAA), da bi se ustrezno upoštevali in izvajali elementi INFOSEC, ki veljajo za uporabo navedene opreme.

26. POSREDOVANJE TAJNIH PODATKOV EU TRETJIM DRŽAVAM ALI MEDNARODNIM ORGANIZACIJAM

26.1.1 Načela posredovanja tajnih podatkov EU

Komisija kot kolegijski organ odloča o posredovanju tajnih podatkov EU tretjim državam ali mednarodnim organizacijam na podlagi:

—

narave in vsebine takih podatkov;

—

prejemnikove potrebe vedeti;

—

prednosti za EU.

Osebo izvora tajnih podatkov EU, ki naj se posredujejo, se zaprosi za soglasje.

Navedene odločitve se sprejmejo od primera do primera, odvisno od:

—

zaželene stopnje sodelovanja z zadevnimi tretjimi državami ali mednarodnimi organizacijami;

—

tajnosti, ki jim jo je mogoče pripisati – ki izhaja iz stopnje varnosti, ki bi veljala za tajne podatke EU, zaupane tem državam ali organizacijam, ter skladnosti med varnostnimi pravili, ki veljajo tam, ter pravili, ki veljajo v EU. Svetovalna skupina za varnostno politiko Komisije o tej zadevi posreduje svoje mnenje Komisiji.

Ob sprejetju tajnih podatkov EU tretje države ali mednarodne organizacije zagotovijo, da se bodo podatki uporabili zgolj za spodbujanje posredovanja ali izmenjave podatkov in da se bo zagotovilo varovanje, ki ga zahteva Komisija.

26.1.2 Stopnje

Ko Komisija sklene, da se tajni podatki lahko posredujejo zadevni državi ali mednarodni organizaciji ali z njima izmenjajo, se odloči tudi o stopnji možnega sodelovanja. To je zlasti odvisno od varnostne politike in predpisov, ki veljajo v navedeni državi ali organizaciji.

Stopnje sodelovanja so:

Stopnja 1

Sodelovanje s tretjimi državami ali mednarodnimi organizacijami, katerih varnostna politika in predpisi so zelo sorodni varnostni politiki in predpisom EU.

Stopnja 2

Sodelovanje s tretjimi državami ali mednarodnimi organizacijami, katerih varnostna politika in predpisi se bistveno razlikujejo od varnostne politike in predpisov EU.

Stopnja 3

Občasno sodelovanje s tretjimi državami ali mednarodnimi organizacijami, katerih politike in varnostnih predpisov ni mogoče oceniti.

Za vsako stopnjo sodelovanja so določeni postopki in varnostni predpisi, vsebovani v Dodatkih 3, 4 in 5.

26.1.3 Varnostna ureditev

Ko se Komisija odloči, da obstaja trajna ali dolgoročna potreba po izmenjavi tajnih podatkov med Komisijo in tretjimi državami ali drugimi mednarodnimi organizacijami, skupaj z njimi sestavi „sporazume o varnostnih postopkih za izmenjavo tajnih podatkov“, v katerih se opredelijo namen sodelovanja in vzajemna pravila glede varovanja izmenjanih podatkov.

V primeru občasnega sodelovanja na stopnji 3, ki je po opredelitvi omejeno s časom in namenom, je mogoče „sporazum o postopkih za izmenjavo tajnih podatkov“ nadomestiti s preprostim memorandumom o soglasju, ki opredeljuje naravo tajnih podatkov za izmenjavo in vzajemne obveznosti v zvezi z navedenimi podatki, pod pogojem, da nima višje stopnje tajnosti kot ►M2 RESTREINT UE ◄ .

O osnutkih sporazumov o varnostnih postopkih ali memorandumih o soglasju razpravlja Svetovalna skupina za varnostno politiko Komisije, še preden se predložijo Komisiji v odločanje.

Član Komisije, pristojen za varnostne zadeve, organe, pristojne za državno varnost (NSA) držav članic zaprosi za vso potrebno pomoč, da bi zagotovil, da se podatki, ki jih je treba posredovati, uporabljajo in varujejo v skladu z določbami iz sporazumov o varnostnih postopkih ali memorandumov o soglasju.

▼M4

27. SKUPNI MINIMALNI STANDARDI O INDUSTRIJSKI VARNOSTI

27.1 Uvod

Ta oddelek obravnava varnostne vidike industrijskih dejavnosti, pomembne za pogajanja o pogodbenih obveznostih ter dodelitev naročil in sporazumov o donacijah, ki poverjajo naloge, ki vključujejo, imajo za posledico in/ali vsebujejo zaupne podatke EU, ter za njihovo izvedbo s strani industrijskih in drugih subjektov, vključno z objavo ali dostopom do tajnih podatkov EU med postopkom o javnih naročilih in razpisom za zbiranje predlogov (rok za oddajo ponudbe in pogajanja pred dodelitvijo naročila).

27.2 Opredelitve

V teh skupnih minimalnih standardih se uporabljajo naslednje opredelitve pojmov:

(a)

„tajno naročilo“: vsako naročilo ali sporazum o donaciji za dobavo izdelkov, izvedbo del, dajanje prostorov na voljo ali opravljanje storitev, katerega izpolnitev zahteva ali vključuje dostop do tajnih podatkov EU ali njihov nastanek;

(b)

„tajno podnaročilo“: naročilo, ki ga sklene izvajalec ali upravičenec do donacije z drugim izvajalcem (tj. podizvajalcem) za dobavo blaga, izvedbo del ali opravljanje storitev, katerega izpolnitev zahteva ali vključuje dostop do tajnih podatkov EU ali njihov nastanek;

(c)

„izvajalec“: gospodarski ali pravni subjekt, ki ima poslovno sposobnost za izvajanje naročil ali do upravičenosti za donacijo;

(d)

„pristojni varnostni organ (PVO)“: organ, odgovoren nacionalnemu varnostnemu organu (NVO) države članice EU, ki je zadolžen, da industrijskim ali drugim subjektom sporoča nacionalno politiko glede vseh zadev v zvezi z industrijsko varnostjo ter da zagotavlja vodenje in pomoč pri njenem izvajanju. Naloge PVO lahko opravlja NVO;

(e)

„varnostno potrdilo za objekt (VPO)“: uradna ugotovitev NVO/PVO, da lahko določen objekt z varnostnega vidika nudi ustrezno varnostno zaščito tajnih podatkov EU določene stopnje tajnosti ter da je osebje, ki zahteva dostop do tajnih podatkov EU, primerno varnostno preverjeno in obveščeno o ustreznih varnostnih zahtevah, ki so potrebne za dostop do tajnih podatkov EU in njihovo zaščito;

(f)

„industrijski ali drug subjekt“: subjekt, ki je vključen v dobavo blaga, izvedbo del ali opravljanje storitev; to lahko vključuje industrijske, trgovske, storitvene, znanstvene, raziskovalne, izobraževalne ali razvojne subjekte;

(g)

„industrijska varnost“: uporaba varnostnih ukrepov in postopkov za preprečevanje, odkrivanje in ublažitev izgube ali ogrožanja tajnih dokumentov EU, s katerimi razpolaga izvajalec ali podizvajalec med pogajanji pred dodelitvijo in med izvajanjem tajnih naročil;

(h)

„nacionalni varnostni organ (NVO)“: vladni organ države članice EU, ki ima končno odgovornost za zaščito tajnih podatkov EU v državi članici;

(i)

„splošna stopnja tajnosti naročila“: določitev stopnje tajnosti celotnega naročila ali sporazuma o donaciji na podlagi določitve stopnje tajnosti podatkov in/ali gradiva, ki bodo ali bi lahko nastali, bili objavljeni ali dostopni v okviru vsakega elementa celotnega naročila ali sporazuma o donaciji. Splošna stopnja tajnosti naročila ne sme biti nižja od najvišje stopnje tajnosti vsakega izmed njegovih elementov, vendar je lahko zaradi učinka seštevanja višja;

(j)

„listina varnostnih vidikov (LVV)“: zbirka posebnih pogodbenih pogojev – ki jih objavi naročnik in so sestavni del tajnega naročila, ki vključuje dostop do tajnih podatkov EU ali njihov nastanek – ki navaja varnostne zahteve ali tiste elemente tajnega naročila, ki zahtevajo varnostno zaščito;

(k)

„vodnik stopenj tajnosti (VST)“: dokument, ki opisuje elemente programa, naročila ali sporazuma o donaciji, ki so tajni, in opredeljuje posamezne stopnje tajnosti. Vodnik stopenj tajnosti se lahko med trajanjem celotnega programa, naročila ali sporazuma o donaciji razširi, elementi podatkov pa se lahko prerazvrstijo ali razvrstijo na nižjo stopnjo. Vodnik stopenj tajnosti mora biti del listine varnostnih vidikov.

27.3 Organizacija

(a) Komisija lahko na industrijske ali druge subjekte, registrirane v državah članicah, s tajnim naročilom prenese naloge, ki vključujejo, imajo za posledico in/ali vsebujejo tajne podatke EU.

(b) Komisija zagotovi, da so pri dodeljevanju tajnih naročil izpolnjene vse zahteve, ki izhajajo iz teh minimalnih standardov.

(c) Komisija bo vključila zadevni NVO ali NVO-je, da se zagotovi uporaba teh minimalnih standardov o industrijski varnosti. NVO lahko te naloge prepusti enemu ali več PVO.

(d) Končno odgovornost za zaščito tajnih podatkov EU znotraj industrijskih ali drugih subjektov ima njihovo vodstvo.

(e) Kadar se dodeli tajno naročilo ali podnaročilo, za katerega veljajo ti minimalni standardi, Komisija in/ali NVO/PVO, kadar je to primerno, takoj obvesti NVO/PVO države članice, v kateri je izvajalec ali podizvajalec registriran.

27.4 Tajna naročila in sporazumi o donacijah

(a) Pri stopnji tajnosti tajnega naročila ali sporazuma o donaciji je treba upoštevati naslednja načela:

—

Komisija, kadar je primerno, določi tiste vidike naročila, ki jim je treba zagotoviti zaščito in jim posledično dodeliti stopnjo tajnosti; pri tem mora upoštevati prvotno stopnjo tajnosti, ki jo je za podatke, nastale pred dodelitvijo naročila, določil organ izvora,

—

splošna stopnja tajnosti naročila ne sme biti nižja od najvišje stopnje tajnosti vsakega izmed njegovih elementov,

—

tajnim podatkom EU, nastalim v okviru dejavnosti naročila, se dodeli stopnja tajnosti v skladu z vodnikom stopenj tajnosti,

—

Komisija je po potrebi odgovorna, da po posvetu z organom izvora spremeni splošno stopnjo tajnosti naročila ali stopnjo tajnosti vsakega izmed njegovih elementov in da obvesti vse zainteresirane strani,

—

tajni podatki, ki se sporočijo izvajalcu oziroma podizvajalcu ali nastanejo v okviru dejavnosti naročila, se ne smejo uporabiti za namene, ki niso opredeljeni v tajnem naročilu, in se brez predhodnega pisnega soglasja organa izvora ne smejo razkriti tretjim stranem.

(b) Komisija in NVO-ji/PVO-ji zadevnih držav članic so odgovorni za zagotovitev, da izvajalci in podizvajalci, ki so jim dodeljena tajna naročila, ki vključujejo tajne podatke EU z oznako CONFIDENTIEL UE ali z oznako višje stopnje, sprejmejo vse ustrezne ukrepe za zavarovanje teh tajnih podatkov EU, ki se jim sporočijo ali jih pri izvajanju tajnega naročila v skladu z nacionalnimi zakoni in predpisi proizvedejo sami. Zaradi nespoštovanja varnostnih zahtev se pogodba lahko prekine.

(c) Vsi industrijski ali drugi subjekti, ki sodelujejo pri tajnih naročilih, ki vključujejo dostop do tajnih podatkov z oznako CONFIDENTIEL UE ali z oznako višje stopnje, morajo imeti nacionalno VPO. NVO/PVO države članice izda VPO, da z njim potrdi, da lahko objekt nudi in zagotovi ustrezno varnostno zaščito tajnih podatkov EU na ustrezni stopnji tajnosti.

(d) Ob dodelitvi tajnega naročila bo varnostni uradnik objekta (VUO), ki ga imenuje uprava izvajalca ali podizvajalca, odgovoren, da zahteva varnostno potrdilo za osebje (VPOS) za vse zaposlene v industrijskih ali drugih subjektih, registriranih v državi članici EU, katerih naloge zahtevajo dostop do tajnih podatkov z oznako CONFIDENTIEL UE ali z oznako višje stopnje ob upoštevanju tajnega naročila, ki ga dodeli NVO/PVO te države članice v skladu z njenimi nacionalnimi predpisi.

(e) Tajna naročila morajo vsebovati LVV, kakor je opredeljena v točki 27.2(j). LVV mora vsebovati VST.

(f) Komisija pred začetkom postopka s pogajanji o tajnem naročilu naveže stik z NVO/PVO države članice, v kateri so zadevni industrijski ali drugi subjekti registrirani, da se prepriča, ali imajo ti veljavno varnostno potrdilo za objekt, ki ustreza stopnji tajnosti naročila.

(g) Naročnik ne sme oddati tajnega naročila prednostnemu gospodarskemu subjektu, dokler ne prejme veljavnega varnostnega potrdila za objekt.

(h) Za naročila, ki vključujejo tajne podatke z oznako RESTREINT UE, varnostno potrdilo za objekt ni potrebno, če tega ne zahtevajo nacionalni zakoni in predpisi države članice.

(i) V primeru ponudb za tajna naročila morajo razpisi vsebovati določbo, ki zahteva, da mora ponudnik, ki ne predloži ponudbe ali ki ni izbran, v določenem roku vrniti vse dokumente.

(j) Od izvajalca se lahko zahteva, da se s podizvajalci pogaja o tajnih podnaročilih na različnih stopnjah. Izvajalec je odgovoren za zagotovitev, da se vse dejavnosti podnaročil izvajajo v skladu s skupnimi minimalnimi standardi iz tega oddelka. Vendar pa izvajalec brez predhodnega pisnega dovoljenja organa izvora podizvajalcu ne sme posredovati tajnih podatkov ali gradiva EU.

(k) Pogoji, pod katerimi lahko izvajalec sklene pogodbo o podnaročilu, morajo biti opredeljeni v ponudbi ali razpisih za zbiranje predlogov in v tajnem naročilu. Brez izrecnega pisnega pooblastila Komisije se subjektom, ki so registrirani v državi, ki ni članica EU, ne sme dodeliti podnaročila.

(l) Med celotnim trajanjem tajnega naročila bo Komisija v povezavi z zadevnim NVO/PVO nadzorovala, ali se spoštujejo vse njene varnostne določbe. Vsak incident v zvezi z varnostjo se sporoči v skladu z določbami iz dela II oddelka 24 teh varnostnih predpisov. Vsako spremembo ali odvzem varnostnega potrdila za objekt se takoj posreduje Komisiji in vsem drugim NVO/PVO, ki so bili o tem potrdilu obveščeni.

(m) Kadar se tajno naročilo ali tajno podnaročilo prekine, Komisija in/ali NVO/PVO, kakor je ustrezno, takoj obvesti NVO/PVO države članice, v kateri je izvajalec ali podizvajalec registriran.

(n) Po prekinitvi ali izvršitvi pogodbe o tajnem naročilu ali podnaročilu se skupni minimalni standardi iz tega oddelka še naprej izpolnjujejo, izvajalci in podizvajalci pa še naprej ohranjajo zaupnost tajnih podatkov.

(o) Posebne določbe za uničenje tajnih podatkov ob izteku tajnega naročila se opredelijo v LVV ali drugih ustreznih predpisih, ki določajo varnostne zahteve.

(p) Obveznosti in pogoji iz tega oddelka se smiselno uporabljajo v postopkih, v katerih se s sporazumom dodelijo donacije, in predvsem za upravičence do takih donacij. V sporazumu o donaciji so določene vse obveznosti upravičencev.

27.5 Obiski

O obiskih osebja Komisije v okviru tajnih naročil industrijskih in drugih subjektov v državah članicah, ki izvajajo tajna naročila EU, se je treba dogovoriti z ustrezno NSA/DSA. Obiski uslužbencev industrijskih ali drugih subjektov v okviru tajnega naročila EU morajo biti dogovorjeni med zadevnimi NVO/PVO. Vendar pa se lahko NVO-ji/PVO-ji, ki sodelujejo pri tajnem naročilu EU, sporazumejo o postopku, na podlagi katerega se je mogoče o obiskih uslužbencev industrijskih ali drugih subjektov dogovoriti neposredno.

27.6 Prenos in prevoz tajnih podatkov EU

(a) V zvezi s prenosom tajnih podatkov EU se uporabljajo določbe iz dela II, oddelka 21 teh varnostnih predpisov. Za dopolnitev teh določb se uporabljajo vsi obstoječi veljavni postopki med državami članicami.

(b) Mednarodni prevoz zaupnega gradiva EU, ki se nanaša na tajna naročila, se izvrši v skladu z nacionalnimi postopki držav članic. Pri preverjanju varnostnih dogovorov za mednarodne prevoze se uporabljajo naslednja načela:

—

varnost je zagotovljena v vseh fazah prevoza in v vseh okoliščinah, od kraja izvora do končne namembne lokacije,

—

stopnja zaščite, dodeljena pošiljki, se določi na podlagi gradiva z najvišjo stopnjo tajnosti, ki je v pošiljki vsebovano,

—

po potrebi se pridobi varnostno potrdilo za objekt za družbe, ki opravljajo prevoz. V teh primerih je treba osebje, ki upravlja s pošiljko, varnostno preveriti v skladu s skupnimi minimalnimi standardi iz tega oddelka,

—

prevozi so, če je le mogoče, brez postanka in se opravijo v najhitrejšem možnem času, ki ga dovoljujejo okoliščine,

—

če je le mogoče, se uporablja izključno poti skozi države članice EU. Poti skozi države, ki niso članice EU, se sme uporabiti le z dovoljenjem NVO/PVO države pošiljatelja in države prejemnika,

—

pred vsako premestitvijo tajnega gradiva EU pošiljatelj izdela načrt prevoza, ki ga odobrijo zadevni NVO-ji/PVO-ji.

▼M2

Dodatek 1

PRIMERJAVA NACIONALNIH OZNAK STOPENJ TAJNOSTI

Stopnja tajnosti EU	TRES SECRET UE/EU TOP SECRET	SECRET UE	CONFIDENTIEL UE	RESTREINT UE
Stopnja tajnosti WEU	FOCAL TOP SECRET	WEU SECRET	WEU CONFIDENTIAL	WEU RESTRICTED
Stopnja tajnosti Euratom	EURA TOP SECRET	EURA SECRET	EURA CONFIDENTIAL	EURA RESTRICTED
Stopnja tajnosti NATO	COSMIC TOP SECRET	NATO SECRET	NATO CONFIDENTIAL	NATO RESTRICTED
Belgija	Très Secret	Secret	Confidentiel	Diffusion restreinte
Belgija	Zeer Geheim	Geheim	Vertrouwelijk	Beperkte Verspreiding
Češka	Přísn tajné	Tajné	Důvěrné	Vyhrazené
Danska	Yderst hemmeligt	Hemmeligt	Fortroligt	Til tjenestebrug
Nemčija	Streng geheim	Gheim	VS (1) — Vertraulich	VS — Nur für den Dienstgebrauch
Estonija	Täiesti salajane	Salajane	Konfidentsiaalne	Piiratud
Grčija	Άκρως Απόρρητο	Απόρρητο	Εμπιστευτικό	Περιορισμένης Χρήσης
Grčija	Abr: ΑΑΠ	Abr: (ΑΠ)	Αbr: (ΕΜ)	Abr: (ΠΧ)
Španija	Secreto	Reservado	Confidencial	Difusión Limitada
Francija	Très Secret Défense (2)	Secret Défense	Confidentiel Défense
Irska	Top Secret	Secret	Confidential	Restricted
Italija	Segretissimo	Segreto	Riservatissimo	Riservato
Ciper	Άκρως Απόρρητο	Απόρρητο	Εμπιστευτικό	Περιορισμένης Χρήσης
Latvija	Sevišķi slepeni	Slepeni	Konfidenciāli	Dienesta vajadzībām
Litva	Visiškai slaptai	Slaptai	Konfidencialiai	Riboto naudojimo
Luksemburg	Très Secret	Secret	Confidentiel	Diffusion restreinte
Madžarska	Szigorúan titkos !	Titkos !	Bizalmas !	Korlátozott terjesztésű !
Malta	L-Ghola Segretezza	Sigriet	Kunfidenzjali	Ristrett
Nizozemska	Stg (3). Zeer Geheim	Stg. Geheim	Stg. Confidentieel	Departementaalvertrouwelijk
Avstrija	Streng Geheim	Geheim	Vertraulich	Eingeschränkt
Poljska	Ściśle Tajne	Tajne	Poufne	Zastrzeżone
Portugalska	Muito Secreto	Secreto	Confidencial	Reservado
Slovenija	Strogo tajno	Tajno	Zaupno	SVN Interno
Slovaška	Prísne tajné	Tajné	Dôverné	Vyhradené
Finska	Erittäin salainen	Erittäin salainen	Salainen	Luottamuksellinen
Švedska	Kvalificerat hemlig	Hemlig	Hemlig	Hemlig
Združeno kraljestvo	Top Secret	Secret	Confidential	Restricted
(1) VS = Verschlusssache. (2) The classification Très secret défense, which covers governmental priority issues, may only be changed with the Prime Minister’s authorisation. (3) Stg = staatsgeheim.