a)

Kommissionen får genom kontrakt överlåta arbetsuppgifter som innebär, medför eller innehåller sekretessbelagda EU-uppgifter till företag eller andra enheter som är registrerade i en medlemsstat.

b)

Kommissionen skall vid tilldelning av sekretessbelagda kontrakt se till att alla krav som följer av dessa miniminormer uppfylls.

c)

Kommissionen skall se till att de nationella säkerhetsmyndigheterna (NSM) har lämpliga strukturer för att tillämpa dessa miniminormer för företagssekretess. Dessa kan inbegripa en eller flera verkställande säkerhetsmyndigheter (VSM).

d)

Det yttersta ansvaret för skyddet av sekretessbelagda EU-uppgifter hos företag eller andra enheter ligger hos deras ledning.

e)

Vid tilldelningen av ett kontrakt eller ett underleverantörskontrakt som omfattas av tillämpningsområdet för dessa miniminormer skall kommissionen eller den nationella respektive den verkställande säkerhetsmyndigheten omedelbart meddela den nationella eller den verkställande säkerhetsmyndigheten i den medlemsstat där leverantören eller underleverantören är registrerad.

a)

Vid säkerhetsklassificeringen av kontrakt eller överenskommelser om bidrag skall följande principer beaktas:

b)

Kommissionen och medlemsstaternas NSM eller VSM skall ansvara för att leverantörer och underleverantörer som tilldelas sekretessbelagda kontrakt med uppgifter som klassats CONFIDENTIEL UE eller högre vidtar alla lämpliga åtgärder för att, i enlighet med nationella lagar och andra författningar, skydda sådana sekretessbelagda EU-uppgifter som lämnats ut till eller framställts av dem vid genomförandet av det sekretessbelagda kontraktet. Bristande iakttagande av säkerhetskraven kan leda till att kontraktet hävs.

c)

Alla företag eller andra enheter som deltar i sekretessbelagda kontrakt som innebär tillgång till uppgifter som klassats CONFIDENTIEL UE eller högre måste inneha ett nationellt intyg om säkerhetsgodkännande av verksamhetsställe. Detta bevis beviljas av NSM eller VSM i en medlemsstat för att bekräfta att en verksamhet kan ge och garantera tillräckligt säkerhetsskydd för sekretessbelagda EU-uppgifter med den berörda sekretessgraden.

d)

När ett kontrakt tilldelas är en tjänsteman med ansvar för säkerheten vid verksamhetsstället, som utsetts av leverantören eller underleverantören ansvarig för att bevilja ett intyg om säkerhetsprövning för alla personer som är anställda vid företag och andra enheter som är registrerade i den medlemsstaten, och vilkas arbetsuppgifter inom ramen för ett sekretessbelagt kontrakt kräver tillgång till EU-uppgifter som klassats CONFIDENTIEL UE eller högre.

e)

Sekretessbelagda kontrakt måste inbegripa ett dokument om säkerhetsskydd (säkerhetsskyddsplan) enligt punkt 27.2 j. Denna förklaring skall innehålla en klassningsmanual.

f)

Innan kommissionen påbörjar förhandlingarna om ett sekretessbelagt kontrakt skall det ta kontakt med NSM eller VSM i de medlemsstater där de berörda företagen eller andra enheterna är registrerade för att få bekräftelse på att de innehar ett intyg om säkerhetsgodkännande av verksamhetsställe för den sekretessgrad som gäller för kontraktet.

g)

Upphandlingsmyndigheten skall inte ingå ett sekretessbelagt kontrakt med den valde anbudsgivaren innan ett giltigt intyg om säkerhetsgodkännande av verksamhetsställe har lämnats.

h)

Om inte annat fastställs i medlemsstaternas nationella lagar och andra författningar krävs inget intyg om säkerhetsgodkännande av verksamhetsställe för uppgifter som klassats RESTREINT EU.

i)

När det gäller anbud avseende sekretessbelagda kontrakt skall anbudsinfordran innehålla en bestämmelse om att den anbudsgivare som underlåter att lämna ett anbud eller inte väljs ut skall vara skyldig att inom en bestämd tid återlämna alla handlingar.

j)

Det kan visa sig nödvändigt för en leverantör att förhandla om sekretessbelagda underleverantörskontrakt med underleverantörer på olika nivåer. Leverantören är ansvarig för att se till att all underleverantörskontraktsverksamhet sker i enlighet med de gemensamma miniminormerna i detta avsnitt. Entreprenören får dock inte lämna ut sekretessbelagda EU-uppgifter eller sekretessbelagt material till en underleverantör utan föregående skriftligt medgivande från upphovsmannen.

k)

De villkor på vilka leverantören kan anlita underleverantörer skall fastställas i anbudsinfordran och i kontraktet. Endast med ett uttryckligt skriftligt tillstånd från kommissionen kan underleverantörskontrakt tilldelas enheter som är registrerade i en stat utanför EU.

l)

Under kontraktets hela löptid skall efterlevnaden av alla dess säkerhetsbestämmelser övervakas av den berörda NSM eller VSM i samordning med kommissionen. Anmälan om incidenter rörande säkerhetsskyddet skall ske i enlighet med bestämmelserna i del II avsnitt 24 i dessa säkerhetsbestämmelser. Ändring eller återkallande av ett intyg om godkännande av verksamhetsställe skall omedelbart meddelas kommissionen och varje annan NSM eller VSM till vilken intyget har anmälts.

m)

När ett sekretessbelagt kontrakt eller underkontrakt har avslutats skall kommissionen eller NSM eller VSM omedelbart underrätta den NSM eller VSM i de medlemsstater där leverantören eller underleverantören är registrerad.

n)

Efter det att det sekretessbelagda kontraktet eller underkontraktet har avslutats eller upphört skall leverantörerna och underleverantörerna fortsätta att iaktta de gemensamma miniminormerna i detta avsnitt och bibehålla sekretessen för de sekretessbelagda uppgifterna.

o)

Särskilda bestämmelser om hur sekretessbelagda uppgifter skall hanteras efter det att kontraktet har upphört skall fastställas i dokumentet om säkerhetsskydd (säkerhetsskyddsplanen) eller i andra relevanta bestämmelser om säkerhetskrav.

p)

De skyldigheter och villkor som avses i detta avsnitt, gäller i tillämpliga delar förfaranden där bidrag beviljas genom beslut och särskilt då stödmottagarna. Alla mottagarens skyldigheter skall framgå av bidragsbeslutet.

a)

När det gäller överlämnande av sekretessbelagda EU-uppgifter skall bestämmelserna i del II avsnitt 21 i dessa säkerhetsbestämmelser tillämpas. I syfte att komplettera dessa bestämmelser skall alla befintliga förfaranden som är i kraft i medlemsstaterna tillämpas.

b)

Internationell transport av sekretessbelagda EU-uppgifter avseende sekretessbelagda kontrakt skall ske i enlighet med medlemsstaternas nationella förfaranden. Följande principer skall gälla vid granskningen av säkerhetsarrangemangen för internationell transport: