Articolul 1
Obiectiv și domeniu de aplicare
Prezenta decizie stabilește normele de securitate pentru Serviciul European de Acțiune Externă (denumite în continuare „normele de securitate pentru SEAE”).
În temeiul articolului 10 alineatul (1) din Decizia 2010/427/UE a Consiliului din 26 iulie 2010 privind organizarea și funcționarea Serviciului European de Acțiune Externă, prezenta decizie se aplică personalului SEAE și tuturor membrilor personalului din delegațiile Uniunii, indiferent de funcția lor administrativă sau de originea lor, și stabilește cadrul de reglementare general pentru gestionarea eficace a riscurilor la adresa personalului aflat sub responsabilitatea SEAE, astfel cum este definit la articolul 2, la adresa incintelor, a activelor corporale, a informațiilor și a vizitatorilor SEAE.
Articolul 2
Definiții
În sensul prezentei decizii, se aplică următoarele definiții:
(a) „personalul SEAE” înseamnă funcționarii și alți agenți ai SEAE, inclusiv membrii personalului din cadrul serviciilor diplomatice ale statelor membre numiți în funcție în calitate de agenți temporari, și experții naționali detașați, astfel cum sunt definiți la articolul 6 din Decizia 2010/427/UE a Consiliului din 26 iulie 2010 privind organizarea și funcționarea Serviciului European de Acțiune Externă;
(b) „personalul aflat sub responsabilitatea SEAE” înseamnă personalul SEAE și toți membrii personalului din delegațiile Uniunii, indiferent de funcția lor administrativă sau de originea lor, precum și, în contextul prezentei decizii, Înaltul Reprezentant și, după caz, alte categorii de personal aflat în incintele sediului SEAE;
(c) „persoane aflate în întreținere” înseamnă membrii de familie ai personalului aflat sub responsabilitatea SEAE în delegațiile Uniunii care fac parte din gospodăria respectivă, astfel cum au fost notificați Ministerului Afacerilor Externe al statului-gazdă;
(d) „incintele SEAE” înseamnă toate unitățile SEAE, inclusiv clădiri, birouri, săli și alte spații, precum și spațiile în care sunt amplasate sistemele informatice și de comunicații (inclusiv cele care manipulează IUEC), în care SEAE desfășoară activități permanente sau temporare;
(e) „interesele în materie de securitate ale SEAE” înseamnă personalul aflat sub responsabilitatea SEAE, incintele, persoanele aflate în întreținere, activele corporale, inclusiv sistemele informatice și de comunicații, informațiile și vizitatorii SEAE;
(f) „IUEC” înseamnă orice informații sau materiale desemnate ca atare printr-o clasificare de securitate a UE, a căror divulgare neautorizată ar putea cauza prejudicii de diferite grade intereselor Uniunii Europene sau ale unuia sau mai multor state membre.
Alte definiții sunt enumerate în anexele relevante și în apendicele A.
Articolul 3
Obligația de diligență
1. Normele de securitate pentru SEAE au ca scop îndeplinirea responsabilităților SEAE în privința obligației de diligență.
2. Obligația de diligență a SEAE cuprinde diligența necesară pentru adoptarea tuturor măsurilor rezonabile destinate punerii în aplicare a măsurilor de securitate pentru prevenirea prejudiciilor previzibile în mod rezonabil la adresa intereselor în materie de securitate ale SEAE.
Aceasta cuprinde atât elemente de securitate, cât și de siguranță, inclusiv elemente care rezultă din situații de urgență sau de criză, indiferent de natura lor.
3. Având în vedere responsabilitatea în privința obligației de diligență a statelor membre, a instituțiilor sau organismelor UE și a altor părți care au personal în delegațiile Uniunii și/sau în incintele delegațiilor Uniunii sau o astfel de responsabilitate care revine SEAE atunci când delegațiile Uniunii sunt găzduite în incinte aparținând altor părți menționate mai sus, SEAE încheie acorduri administrative cu fiecare dintre entitățile menționate mai sus, prin care sunt stabilite rolurile și responsabilitățile, sarcinile și mecanismele de cooperare ale fiecăreia.
Articolul 4
Securitatea fizică și a infrastructurii
1. SEAE instituie toate măsurile adecvate de securitate fizică (permanente sau temporare), inclusiv modalități de control al accesului, în toate incintele SEAE, pentru protejarea intereselor în materie de securitate ale SEAE. Astfel de măsuri sunt adoptate luând în considerare conceperea și planificarea incintelor noi sau înainte de închirierea unor incinte existente.
2. În țările terțe, SEAE instituie, de asemenea, toate măsurile suplimentare corespunzătoare de securitate fizică, permanente sau temporare, pentru protejarea intereselor sale în materie de securitate.
În acest scop, din motive de securitate, se pot impune obligații sau restricții speciale personalului aflat sub responsabilitatea SEAE și persoanelor aflate în întreținere, pentru o anumită perioadă de timp și în anumite spații.
3. Măsurile menționate la alineatele (1) și (2) sunt proporționale cu riscurile evaluate.
Articolul 5
Protecția informațiilor clasificate
1. Protecția IUEC este reglementată de cerințele prevăzute în prezenta decizie și în special în anexa A. Deținătorul oricărei IUEC este responsabil de protejarea acesteia în consecință.
2. SEAE se asigură că accesul la informațiile clasificate este acordat numai persoanelor care îndeplinesc condițiile prevăzute la articolul 5 din anexa A.
3. Condițiile în care agenții locali pot avea acces la IUEC sunt, de asemenea, stabilite de Înaltul Reprezentant, în conformitate cu normele pentru protecția IUEC prevăzute în anexa A la prezenta decizie.
4. Direcția de securitate a SEAE gestionează o bază de date privind certificatele de securitate ale tuturor membrilor personalului aflat sub responsabilitatea SEAE și ale contractanților SEAE.
5. În cazul în care statele membre introduc în structurile sau în rețelele SEAE informații clasificate care poartă un marcaj național de clasificare a securității, SEAE protejează aceste informații în conformitate cu cerințele aplicabile IUEC de nivel echivalent, astfel cum se prevede în normele aplicabile în temeiul anexei A la prezenta decizie.
6. Spațiile din cadrul SEAE în care sunt păstrate informații clasificate CONFIDENTIEL UE/EU CONFIDENTIAL sau la un nivel superior sau informațiile clasificate la un nivel echivalent sunt stabilite ca zone securizate în conformitate cu normele aplicabile în temeiul anexei A la prezenta decizie și sunt aprobate de către autoritatea de securitate a SEAE.
7. Procedurile pentru exercitarea responsabilităților Înaltului Reprezentant în cadrul acordurilor sau al acordurilor administrative pentru schimbul de IUEC cu state terțe sau cu organizații internaționale sunt descrise în anexele A și AVI din prezenta decizie.
Articolul 6
Incidente de securitate și situații de urgență
1. În vederea asigurării unei reacții prompte și eficace la incidentele de securitate, SEAE stabilește un proces de raportare a acestor incidente și situații de urgență care să fie operațional douăzeci și patru de ore pe zi, șapte zile pe săptămână și care să acopere orice tip de incidente de securitate sau de amenințări la adresa intereselor în materie de securitate ale SEAE (de exemplu, accidente, conflicte, acțiuni răuvoitoare, acte criminale, situații de răpire sau de luare de ostatici, urgențe medicale, incidente legate de sistemele informatice și de comunicații, atacuri cibernetice etc.).
2. Se stabilesc canale de legătură de urgență între sediul SEAE, delegațiile Uniunii, Consiliu, Comisie, reprezentanții speciali ai UE și statele membre, pentru a le sprijini în gestionarea incidentelor de securitate în care este implicat personalul și a consecințelor acestora, inclusiv în planificarea pentru situații de urgență.
3. Această gestionare a incidentelor în materie de securitate cuprinde, printre altele:
— procedurile pentru sprijinirea efectivă a procesului decizional în ceea ce privește un incident de securitate în care este implicat personalul, inclusiv a deciziilor referitoare la retragerea personalului sau suspendarea unei misiuni; și
— o politică și proceduri pentru recuperarea personalului – de exemplu, în cazul dispariției unui membru al personalului sau în situații de răpire și luare de ostatici – luând în considerare responsabilitățile specifice ale statelor membre, ale instituțiilor UE și ale SEAE în această privință. Necesitatea de a avea la dispoziție capacități specifice, în cadrul gestionării unor astfel de operațiuni în această privință, este avută în vedere ținând cont de resursele care ar putea fi furnizate de statele membre.
4. SEAE instituie măsuri administrative adecvate pentru raportarea incidentelor de securitate din delegațiile Uniunii. După caz, trebuie informate statele membre, Comisia, orice alte autorități relevante, precum și comitetele relevante în materie de securitate.
5. Procesele de gestionare a incidentelor ar trebui testate și revizuite periodic.
Articolul 7
Securitatea sistemelor informatice și de comunicații
1. SEAE protejează informațiile manipulate în sistemele informatice și de comunicații („SIC”) împotriva amenințărilor la adresa confidențialității, integrității, disponibilității, autenticității și nerepudierii.
2. Autoritatea de securitate a SEAE, astfel cum este definită la articolul 12 secțiunea I alineatul (1), aprobă normele, o politică de securitate și un program de securitate pentru protejarea tuturor SIC deținute sau operate de SEAE.
3. Normele, politica și programul sunt conforme cu cele ale Consiliului și ale Comisiei și, după caz, cu politicile de securitate aplicate de statele membre și sunt puse în aplicare în strânsă coordonare cu acestea.
4. Toate SIC care manipulează informații clasificate fac obiectul unui proces de acreditare. SEAE aplică un sistem pentru gestionarea acreditării de securitate în consultare cu Secretariatul General al Consiliului și cu Comisia.
5. În cazul în care protecția IUEC manipulate de SEAE este asigurată prin produse criptografice, acestea sunt aprobate de către Autoritatea de aprobare criptografică a SEAE la recomandarea Comitetului de securitate al Consiliului.
6. Autoritatea de securitate a SEAE, în măsura în care este necesar, instituie următoarele funcții de asigurare a informațiilor:
(a) o autoritate de asigurare a informațiilor;
(b) o autoritate TEMPEST;
(c) o autoritate de aprobare criptografică;
(d) o autoritate de distribuție criptografică.
7. Pentru fiecare sistem, autoritatea de securitate a SEAE instituie următoarele funcții:
(a) o autoritate de acreditare în materie de securitate;
(b) o autoritate operațională de asigurare a informațiilor.
8. Dispozițiile pentru punerea în aplicare a prezentului articol în ceea ce privește protecția IUEC sunt prevăzute în anexele A și A IV.
Articolul 8
Încălcări ale securității și compromiterea informațiilor clasificate
1. O încălcare a securității apare ca urmare a unei acțiuni sau omisiuni a unei persoane care contravine normelor de securitate prevăzute în prezenta decizie și/sau politicilor în materie de securitate sau orientărilor care definesc măsurile necesare pentru punerea în aplicare a acesteia, astfel cum au fost aprobate în conformitate cu articolul 20 alineatul (1).
2. O compromitere a informațiilor clasificate apare atunci când acestea au fost divulgate, integral sau parțial, unor persoane sau entități neautorizate.
3. Orice încălcare sau suspiciune de încălcare a securității și orice compromitere sau suspiciune de compromitere a informațiilor clasificate sunt raportate imediat Direcției de securitate a SEAE, care ia măsurile adecvate prevăzute în anexa A.
4. Orice persoană care este răspunzătoare de o încălcare a normelor de securitate prevăzute în prezenta decizie sau de compromiterea informațiilor clasificate poate fi pasibilă de acțiuni disciplinare și/sau în justiție, în conformitate cu actele cu putere de lege, normele și reglementările aplicabile, astfel cum se prevede la articolul 11 alineatul (3) din anexa A.
Articolul 9
Investigarea incidentelor, încălcărilor și/sau compromiterilor în materie de securitate și acțiuni corective
1. Direcția de securitate a SEAE, asistată de experți din statele membre și/sau din alte instituții ale UE, după caz, după ce a fost autorizată de directorul general administrativ, dacă este necesar:
(a) efectuează investigații sau verificări, după caz: (i) atunci când se știe sau când există motive rezonabile să se presupună că au fost compromise sau pierdute informații clasificate relevante pentru SEAE; (ii) cu privire la orice încălcări reale sau presupuse ale securității sau la alte incidente de securitate sau amenințări la adresa intereselor în materie de securitate ale SEAE;
(b) pune în aplicare toate acțiunile corective necesare în urma investigațiilor, atunci când este cazul.
2. Investigatorii au acces la toate informațiile necesare pentru desfășurarea unor astfel de investigații și beneficiază de sprijinul deplin al tuturor serviciilor SEAE în această privință.
Investigatorii pot adopta măsuri adecvate pentru a proteja ansamblul elementelor de probă, într-un mod proporțional cu gravitatea chestiunii care face obiectul investigației.
3. În cazul în care accesul la informații se referă la date cu caracter personal, inclusiv la cele din sistemele informatice și de comunicații, acest acces este acordat în conformitate cu Regulamentul (CE) nr. 45/2001.
4. În cazul în care este necesară crearea unei baze de date pentru investigații care să conțină date cu caracter personal, acest lucru este notificat Autorității Europene pentru Protecția Datelor (AEPD) în conformitate cu regulamentul menționat anterior.
Articolul 10
Gestionarea riscurilor de securitate
1. Pentru a-și stabili nevoile în materie de protecție a securității, SEAE dezvoltă, în strânsă colaborare cu Direcția Securitate a Comisiei și, după caz, cu Oficiul de securitate al Secretariatului General al Consiliului, o metodologie globală de evaluare a riscurilor de securitate.
2. Riscurile la adresa intereselor în materie de securitate ale SEAE sunt gestionate ca proces. Acesta vizează stabilirea riscurilor de securitate cunoscute, definirea măsurilor de securitate pentru reducerea acestor riscuri la un nivel acceptabil și punerea în aplicare de măsuri în conformitate cu conceptul de apărare în profunzime. Eficacitatea unor astfel de măsuri, precum și nivelul riscurilor sunt evaluate în permanență.
3. Rolurile, responsabilitățile și sarcinile prevăzute în prezenta decizie nu aduc atingere responsabilității fiecărui membru al personalului aflat sub responsabilitatea SEAE; în special, personalul UE aflat în misiune în țări terțe trebuie să facă uz de bun simț și de discernământ în ceea ce privește propria siguranță și securitate și trebuie să respecte toate normele, reglementările, procedurile și instrucțiunile de securitate aplicabile.
4. SEAE ia toate măsurile rezonabile pentru a asigura protecția intereselor sale în materie de securitate și a preveni daunele previzibile în mod rezonabil.
5. Măsurile de securitate din cadrul SEAE pentru protejarea IUEC pe durata ciclului lor de viață sunt proporționale în special cu nivelul clasificării lor de securitate, cu forma și volumul informațiilor sau al materialelor, cu amplasarea și construirea localurilor în care sunt amplasate IUEC și cu amenințarea, inclusiv amenințarea evaluată local, pe care o reprezintă activitățile răuvoitoare și/sau infracționale, inclusiv spionajul, sabotajul și terorismul.
Articolul 11
Sensibilizare și formare în materie de securitate
1. Autoritatea de securitate a SEAE se asigură că sunt elaborate și puse în aplicare programe adecvate de sensibilizare și formare în materie de securitate și că personalul aflat sub responsabilitatea SEAE și, după caz, persoanele aflate în întreținerea acestora, primesc informările și formările de sensibilizare necesare, proporționale cu riscurile existente la locul lor de reședință.
2. Înainte de a i se acorda accesul la IEUC și, ulterior, la intervale de timp periodice, personalul este informat și ia cunoștință de responsabilitățile care îi revin cu privire la protejarea IUEC, în conformitate cu normele prevăzute la articolul 5.
Articolul 12
Organizarea securității în cadrul SEAE
1. Directorul general administrativ este autoritatea de securitate a SEAE. În această calitate, directorul general administrativ se asigură că:
(a) măsurile de securitate sunt coordonate, în funcție de necesități, cu autoritățile competente ale statelor membre, cu Secretariatul General al Consiliului și cu Comisia Europeană și, după caz, cu state terțe sau organizații internaționale în ceea ce privește toate aspectele de securitate relevante pentru activitățile SEAE, inclusiv cu privire la natura amenințărilor la adresa intereselor în materie de securitate ale SEAE și la mijloacele de protecție împotriva acestora;
(b) aspectele de securitate sunt luate pe deplin în considerare de la bun început în ceea ce privește toate activitățile SEAE;
(c) accesul la informații clasificate este acordat numai persoanelor care îndeplinesc condițiile prevăzute la articolul 5 din anexa A;
(d) se instituie un sistem de registre care asigură faptul că informațiile clasificate CONFIDENTIEL UE/EU CONFIDENTIAL sau la un nivel superior sunt manipulate în conformitate cu prezenta decizie în cadrul SEAE și atunci când acestea sunt transmise statelor membre ale UE, instituțiilor, organismelor sau agențiilor UE sau altor destinatari autorizați. Se păstrează un registru separat al tuturor IUEC transmise de SEAE statelor terțe și organizațiilor internaționale și al tuturor informațiilor clasificate primite de la state terțe sau organizații internaționale;
(e) inspecțiile de securitate prevăzute la articolul 15 sunt efectuate;
(f) se efectuează investigații în cazul oricărei încălcări reale sau presupuse a securității, inclusiv în cazul oricărei compromiteri sau pierderi reale sau presupuse de informații clasificate, deținute de către SEAE sau provenind de la acesta, și că autoritățile de securitate competente sunt invitate să asiste la astfel de investigații;
(g) se instituie planuri și mecanisme adecvate de gestionare a incidentelor și a consecințelor acestora în vederea asigurării unei reacții prompte și eficace la incidentele de securitate;
(h) se iau măsurile adecvate în cazul în care anumite persoane nu respectă dispozițiile prezentei decizii;
(i) există măsurile fizice și organizatorice adecvate pentru protejarea intereselor în materie de securitate ale SEAE. În acest sens, în consultare cu secretarul general executiv, directorul general administrativ: — stabilește categoria de securitate a delegațiilor, cu consultarea Comisiei, — decide, după consultarea ÎR, momentul în care personalul delegațiilor ar trebui evacuat dacă situația de securitate impune acest lucru, — decide cu privire la măsurile care trebuie aplicate pentru protejarea persoanelor aflate în întreținere, atunci când este cazul, ținând seama de acordurile cu instituțiile UE menționate la articolul 3 alineatul (3), — aprobă politica de comunicare criptografică, în special programul de instalare a produselor și a mecanismului criptografice.
2. Directorul general administrativ este asistat în această sarcină de către directorul general pentru administrație și finanțe, de către șeful Direcției de securitate a SEAE și, după caz, de către directorul general pentru gestionarea crizelor și coordonatore operațională.
3. În calitate de autoritate de securitate a SEAE, directorul general administrativ poate delega sarcini în această privință, după caz.
4. Fiecare șef de departament/serviciu este responsabil pentru punerea în aplicare a normelor privind protecția IUEC în departamentul/serviciul său.
Deși deține în continuare responsabilitatea, după cum s-a menționat mai sus, fiecare șef de departament/serviciu desemnează un membru al personalului pentru îndeplinirea unei funcții de coordonator de securitate pe departament, ale cărui resurse sunt proporționale cu volumul de IUEC manipulate de departamentul/serviciul în cauză.
Coordonatorii de securitate pe departament îl asistă și îl sprijină, atunci când este cazul, pe șeful de departament/serviciu în executarea sarcinilor legate de securitate, cum ar fi:
(a) elaborarea oricăror norme de securitate suplimentare care corespund nevoilor specifice ale departamentului/serviciului;
(b) organizarea periodică a unor scurte informări privind securitatea adresate membrilor departamentului/serviciului lor;
(c) garantarea faptului că principiul necesității de a cunoaște este respectat în departamentul/serviciul lor;
(d) gestionarea unei liste actualizate a codurilor și a cheilor de siguranță;
(e) menținerea procedurilor și a măsurilor de securitate;
(f) raportarea oricăror încălcări ale securității și/sau compromiteri ale IUEC atât către directorul lor, cât și către Direcția de securitate;
(g) efectuarea unei raportări de către personalul care își încetează activitatea în cadrul SEAE;
(h) furnizarea periodică de rapoarte, prin intermediul ierarhiei, privind chestiunile de securitate ale departamentului/serviciului;
(i) asigurarea legăturii cu Direcția de securitate a SEAE cu privire la aspectele de securitate.
Orice activitate sau chestiune care ar putea avea un impact asupra securității este notificată în timp util Direcției de securitate a SEAE.
5. Fiecare șef de delegație a Uniunii răspunde de punerea în aplicare a tuturor măsurilor legate de securitatea delegației Uniunii.
1. SEAE are o Direcție de securitate. Aceasta:
(a) gestionează, coordonează, monitorizează și/sau pune în aplicare toate măsurile de securitate în toate incintele aflate sub responsabilitatea SEAE, la sediu, în interiorul UE și în statele terțe;
(b) asigură coerența și conformitatea cu prezenta decizie și cu dispozițiile de punere în aplicare a oricărei activități care ar putea avea un impact asupra protecției intereselor în materie de securitate ale SEAE;
(c) este principalul consilierul al ÎR, al secretarului general executiv și al directorului general administrativ cu privire la toate aspectele legate de securitate;
(d) este sprijinită de serviciile competente ale statelor membre, în conformitate cu articolul 10 alineatul (3) din Decizia 2010/427/UE a Consiliului privind organizarea și funcționarea SEAE, Direcția de securitate;
(e) sprijină activitățile Autorității de acreditare în materie de securitate a SEAE prin efectuarea de evaluări ale securității fizice a mediului de securitate generală (GSE)/a mediului de securitate locală ale sistemelor informatice și de comunicații care manipulează IUEC, precum și ale incintelor care urmează a fi autorizate pentru manipularea și păstrarea IUEC.
2. Șeful Direcției de securitate a SEAE răspunde de:
(a) asigurarea protecției globale a intereselor în materie de securitate ale SEAE;
(b) elaborarea, revizuirea și actualizarea normelor de securitate, precum și de coordonarea măsurilor de securitate cu autoritățile competente ale statelor membre și, dacă este cazul, cu autoritățile competente din statele terțe și cu organizațiile internaționale cu care UE a încheiat acorduri și/sau aranjamente în materie de securitate;
(c) sprijinirea activităților Comitetului de securitate al SEAE, instituit prin articolul 14 alineatul (1) din prezenta decizie;
(d) asigurarea legăturii cu toți partenerii sau autoritățile, altele decât cele prevăzute la litera (b) de mai sus, privind aspecte legate de securitate, după caz;
(e) stabilirea priorităților și elaborarea de propuneri privind gestiunea bugetului pentru securitate la sediu și în delegațiile Uniunii.
3. Șeful Direcției de securitate a SEAE:
(a) se asigură că încălcările securității și cazurile de compromitere a informațiilor sunt înregistrate și că sunt inițiate și efectuate investigații acolo unde și atunci când este necesar;
(b) se întâlnește periodic și ori de câte ori este necesar pentru a purta discuții cu privire la domeniile de interes comun cu directorul responsabil de securitate din cadrul Secretariatului General al Consiliului și cu directorul Direcției Securitate a Comisiei.
4. Direcția de securitate a SEAE stabilește contactul și menține o cooperare strânsă cu:
— departamentele responsabile de securitate din cadrul ministerelor afacerilor externe din statele membre;
— autoritățile naționale de securitate (ANS) și/sau alte autorități de securitate competente ale statelor membre pentru a obține asistența acestora în ceea ce privește informațiile de care are nevoie pentru a evalua pericolele și amenințările la adresa SEAE, a personalului său, a activităților, activelor și resurselor sale, precum și a informațiilor sale clasificate la locul obișnuit de desfășurare a activității;
— autoritățile de securitate competente ale statelor membre sau statelor-gazdă pe teritoriul cărora SEAE își exercită activitatea, cu privire la orice chestiune privind protecția personalului său, a activității sale, a activelor și resurselor sale și a informațiilor sale clasificate, pentru perioada în care se află pe teritoriul acestor state;
— Oficiul de Securitate al Secretariatului General al Consiliului și cu Direcția Securitate din cadrul Direcției Generale Resurse Umane și Securitate a Comisiei și, atunci când este necesar, cu serviciile de securitate ale celorlalte instituții, organisme și agenții ale UE;
— serviciile de securitate ale statelor terțe sau ale organizațiilor internaționale, în vederea oricărei coordonări utile și
— autoritățile naționale de securitate ale statelor membre, cu privire la orice chestiune referitoare la protecția IUEC.
1. Fiecare șef de delegație a Uniunii răspunde de punerea în aplicare și gestionarea la nivel local a tuturor măsurilor referitoare la protejarea intereselor în materie de securitate ale SEAE în cadrul incintelor și a domeniilor de competență ale delegației Uniunii.
În consultare cu autoritățile competente ale statului-gazdă, atunci când este necesar, șeful de delegație va lua toate măsurile care pot fi întreprinse în mod rezonabil pentru a se asigura că există măsuri fizice și organizatorice adecvate pentru a atinge acest obiectiv.
Șeful de delegație elaborează proceduri de securitate pentru protecția persoanelor aflate în întreținere, astfel cum sunt definite la articolul 2 litera (c), după caz, luând în considerare orice acord administrativ menționat la articolul 3 alineatul (3). Șeful de delegație prezintă anual șefului Direcției de securitate a SEAE un raport cu privire la toate aspectele legate de securitate din cadrul mandatului său.
Acesta este asistat în îndeplinirea sarcinilor menționate de Direcția de securitate a SEAE, de membrii personalului delegației care exercită sarcini și funcții de securitate specifice, precum și de personalul de securitate specializat detașat, după caz.
2. În plus, șeful de delegație:
— instituie planuri detaliate de securitate și de urgență pentru delegație, pe baza procedurilor operaționale standard generale;
— operează un sistem operațional 24 de ore din 24, 7 zile pe săptămână pentru gestionarea incidentelor de securitate și a situațiilor de urgență în cadrul sferei de operare a delegației;
— se asigură că tot personalul afectat în delegație este asigurat, în conformitate cu condițiile din domeniu;
— se asigură că securitatea face parte din formarea oferită tuturor membrilor personalului numit în funcție în cadrul delegației Uniunii, înainte sau la sosirea în delegație; și
— se asigură că toate recomandările făcute în urma evaluărilor securității sunt puse în aplicare și întocmește periodic rapoarte scrise cu privire la punerea în aplicare a acestora și la alte aspecte legate de securitate, adresate autorității de securitate a SEAE.
3. Deși rămâne responsabil și poate fi tras la răspundere pentru garantarea gestionării securității, precum și pentru asigurarea rezilienței corporative, șeful de delegație poate delega executarea sarcinilor sale de securitate coordonatorului de securitate al delegației, care este șeful adjunct al delegației sau, atunci când în această funcție nu este numită nicio persoană, altei persoane adecvate.
În special, coordonatorului de securitate al delegației i se pot încredința următoarele responsabilități:
— asigurarea legăturii cu privire la chestiuni de securitate cu autoritățile competente ale țării-gazdă și cu omologii lor din ambasadele și misiunile diplomatice ale statelor membre;
— punerea în aplicare a unor proceduri adecvate de gestionare a securității în ceea ce privește interesele în materie de securitate ale SEAE, inclusiv protecția IUEC;
— informarea personalului cu privire la normele de securitate care le sunt aplicabile și privind riscurile specifice din țara-gazdă;
— prezentarea de cereri către Direcția de securitate a SEAE în ceea ce privește funcțiile pentru care este necesar un certificat de securitate a personalului (CSP) și
— informarea constantă a șefului de delegație, a responsabilului regional cu securitatea (RSO) și a Direcției de securitate a SEAE cu privire la incidentele sau evoluțiile din zonă care au un impact asupra protecției intereselor în materie de securitate ale SEAE.
4. Șeful de delegație poate delega sarcini de securitate cu caracter administrativ sau tehnic șefului administrației și altor membri ai personalului delegației.
5. Delegația Uniunii este asistată de un responsabil regional cu securitatea (RSO). RSO îndeplinește în delegații rolurile definite mai jos, în fiecare domeniu de competență geografică al delegației.
În anumite circumstanțe, când situația de securitate din momentul respectiv impune acest lucru, un RSO special poate fi desemnat să își desfășoare activitatea cu normă întreagă într-o anumită delegație.
Un RSO poate fi transferat într-o zonă din afara domeniului său curent de competență, inclusiv la sediul din Bruxelles, sau poate chiar prelua un post rezidențial, în funcție de situația unei țări în materie de securitate și astfel cum dispune Direcția de securitate a SEAE.
6. RSO se află sub controlul ierarhic direct al Direcției de securitate a SEAE, însă sub controlul funcțional și administrativ direct al șefului delegației în care își desfășoară activitatea. RSO asistă șeful de delegație și personalul delegației în organizarea și punerea în aplicare a tuturor măsurilor fizice, organizaționale și procedurale legate de securitatea tuturor membrilor personalului delegației, indiferent de originea lor administrativă.
7. RSO furnizează consultanță și asistență șefului de delegație și personalului delegației. După caz, în special atunci când un RSO special își desfășoară activitatea cu normă întreagă într-o delegație a Uniunii, acesta poate sprijini delegația în gestionarea și aplicarea securității, inclusiv în pregătirea contractele de servicii de securitate, în gestionarea acreditărilor și a certificatelor de securitate.
Articolul 13
Operațiuni PESAC și reprezentanți speciali ai UE
Direcția de securitate a SEAE oferă asistență și consiliere directorului Direcției de planificare și de gestionare a crizelor (CMDP), directorului general al Statului Major al Uniunii Europene (EUMS), comandantului operațiunilor civile aflat la conducerea Capacității civile de planificare și conducere (CPCC), comandanților operațiunilor militare ale UE privind aspectele de securitate ale operațiunilor PESAC și reprezentanților speciali ai UE privind aspectele de securitate ale mandatului lor, în mod complementar dispozițiilor specifice existente în această privință în politicile relevante adoptate de Consiliu.
Articolul 14
Comitetul de securitate al SEAE
1. Se instituie un Comitet de securitate al SEAE.
Acesta este prezidat de directorul general administrativ sau de către delegatul desemnat al acestuia și se reunește la solicitarea președintelui sau la cererea oricăruia dintre membrii săi. Direcția de securitate a SEAE sprijină președintele în această funcție și oferă asistență administrativă, după caz, pentru activitățile comitetului.
2. Comitetul de securitate al SEAE este alcătuit din reprezentanți ai:
— fiecărui stat membru;
— Oficiului de Securitate al Secretariatului General al Consiliului;
— Direcției Securitate din cadrul Direcției Generale Resurse Umane și Securitate a Comisiei.
Delegația unui stat membru în cadrul Comitetului de securitate al SEAE poate fi constituită din membri ai:
— autorității naționale de securitate și/sau ai autorității de securitate desemnate,
— departamentelor responsabile cu securitatea din cadrul ministerelor afacerilor externe.
3. Reprezentanții comitetului pot fi însoțiți și pot primi consultanță din partea unor experți, după cum consideră că este necesar. Pot fi invitați să asiste la reuniunile comitetului reprezentanți ai altor instituții, agenții sau organisme ale UE atunci când se discută aspecte relevante pentru securitatea acestora.
4. Fără a aduce atingere alineatului (5) de mai jos, Comitetul de securitate al SEAE sprijină SEAE, prin consultări, cu privire la toate chestiunile de securitate relevante pentru activitățile SEAE, pentru sediu și pentru delegațiile Uniunii.
În special, fără a aduce atingere alineatului (5) de mai jos, Comitetul de securitate al SEAE:
(a) este consultat cu privire la: — politicile de securitate, orientările, conceptele sau alte documente metodologice legate de securitate, în special în ceea ce privește protecția informațiilor clasificate și măsurile care trebuie adoptate în cazul în care personalul SEAE nu respectă normele de securitate; — aspecte tehnice de securitate care pot influența decizia ÎR de a transmite Consiliului o recomandare privind deschiderea negocierilor pentru acordurile privind securitatea informațiilor menționate la articolul 10 alineatul (1) litera (a) din anexa A; — orice modificare a prezentei decizii;
(b) poate fi consultat sau informat, după caz, cu privire la chestiuni legate de securitatea personalului și a activelor de la sediul SEAE și din delegațiile Uniunii, fără a aduce atingere articolului 3 alineatul (3);
(c) este informat cu privire la toate cazurile de compromiteri sau de pierderi ale IUEC care s-au produs în cadrul SEAE.
5. Orice modificare a normelor referitoare la protecția IUEC conținute în prezenta decizie și în anexa A la aceasta necesită un aviz favorabil unanim din partea statelor membre, astfel cum sunt reprezentate în Comitetul de securitate al SEAE. Un astfel de aviz favorabil unanim este, de asemenea, necesar înainte de a:
— intra în negocieri privind acordurile administrative menționate la articolul 10 alineatul (1) litera (b) din anexa A;
— comunica informații clasificate în circumstanțele excepționale menționate la punctele 9, 11 și 12 din anexa A VI;
— se asuma responsabilitatea de emitent al informațiilor în cazurile menționate la articolul 10 alineatul (4) ultima teză din anexa A.
Atunci când este necesar un aviz favorabil unanim, acesta este obținut dacă, în cursul procedurilor comitetului, delegațiile statelor membre nu prezintă obiecții.
6. Comitetul de securitate al SEAE ține seama pe deplin de politicile și orientările de securitate în vigoare din cadrul Consiliului și al Comisiei.
7. Comitetul de securitate al SEAE primește lista inspecțiilor anuale ale SEAE și rapoartele de inspecție, de îndată ce au fost finalizate.
8. Organizarea reuniunilor:
— Comitetul de securitate al SEAE se întrunește cel puțin de două ori pe an. Reuniuni suplimentare, fie în configurația completă, fie în format de securitate ANS/ASD sau MFA, pot fi convocate de președinte sau organizate la solicitarea membrilor comitetului;
— Comitetul de securitate al SEAE își organizează activitățile în așa fel încât să formuleze recomandări cu privire la domenii de securitate specifice. Acesta poate crea alte subdomenii specializate, după caz. Comitetul stabilește mandatul acestor subdomenii specializate și primește rapoartele de activitate cu privire la acestea;
— Direcția de securitate a SEAE este responsabilă de pregătirea elementelor care urmează a fi discutate. Președintele stabilește ordinea de zi provizorie a fiecărei reuniuni. Membrii comitetului pot propune chestiuni suplimentare spre a fi discutate.
Articolul 15
Inspecții de securitate
1. Autoritatea de securitate a SEAE se asigură că sunt întreprinse în mod regulat inspecții de securitate la sediul SEAE și în cadrul delegațiilor Uniunii, pentru a evalua caracterul adecvat al măsurilor de securitate și dacă sunt conforme cu prezenta decizie. Direcția de securitate a SEAE poate, după caz, desemna experți care să furnizeze contribuții la inspecțiile de securitate în agențiile și organismele UE instituite în temeiul titlului V capitolul 2 din TUE.
2. Inspecțiile de securitate ale SEAE sunt efectuate sub autoritatea Direcției de securitate a SEAE și, după caz, cu sprijinul experților în securitate care reprezintă alte instituții ale UE sau statele membre, în special în contextul acordurilor menționate la articolul 3 alineatul (3).
3. SEAE se poate baza, în funcție de necesități, pe expertiza statelor membre, a Secretariatului General al Consiliului și a Comisiei Europene.
După caz, la inspecția de securitate din delegația Uniunii pot fi invitați să participe experți relevanți în domeniul securității din misiunile statului membru în țări terțe și/sau reprezentanți ai departamentelor de securitate diplomatice ale statelor membre.
4. Dispozițiile privind punerea în aplicare a prezentului articol în ceea ce privește protecția IUEC sunt prevăzute în anexa A III.
Articolul 16
Vizite de evaluare
Se organizează vizite de evaluare pentru a se stabili eficacitatea măsurilor de securitate aplicate într-un stat terț sau într-o organizație internațională pentru protecția IUEC schimbate în cadrul unui acord administrativ, astfel cum este menționat la articolul 10 alineatul (1) litera (b) din anexa A.
Direcția de securitate a SEAE poate desemna experți care să furnizeze contribuții la vizitele de evaluare din statele terțe sau din organizațiile internaționale cu care UE a încheiat un acord privind securitatea informațiilor, astfel cum este menționat la articolul 10 alineatul (1) litera (a) din anexa A.
Articolul 17
Planificarea continuității activității
Direcția de securitate a SEAE îl sprijină pe directorul general administrativ în gestionarea aspectelor de securitate legate de procesele de asigurare a continuității activității SEAE ca parte a planificării generale a continuității activității SEAE.
Articolul 18
Recomandări de călătorie pentru misiunile în afara UE
Direcția de securitate a SEAE se asigură că sunt disponibile recomandări de călătorie în ceea ce privește misiunile în afara UE ale personalului aflat sub responsabilitatea SEAE, pe baza resurselor din toate serviciile relevante ale SEAE - în special SITROOM, INTCEN, departamentele geografice și delegațiile Uniunii.
Direcția de securitate a SEAE oferă, la cerere și pe baza resurselor menționate anterior, recomandări de călătorie specifice în ceea ce privește misiunile efectuate de personalul aflat sub responsabilitatea SEAE în statele terțe care prezintă un risc ridicat sau crescut.
Articolul 19
Sănătate și siguranță
Normele de securitate ale SEAE completează normele SEAE privind protecția sănătății și a siguranței, astfel cum au fost adoptate de către Înaltul Reprezentant.
Articolul 20
Punere în aplicare și reexaminare
1. După caz, autoritatea de securitate a SEAE, în urma consultării cu Comitetul de securitate al SEAE, aprobă politicile sau orientările de securitate prin care se stabilesc măsurile necesare pentru punerea în aplicare a acestor norme în cadrul SEAE și creează capacitatea necesară care să cuprindă toate aspectele legate de securitate, în strânsă cooperare cu autoritățile de securitate competente ale statelor membre și cu sprijinul serviciilor relevante ale instituțiilor UE.
2. În conformitate cu articolul 4 alineatul (5) din Decizia 2010/427/UE a Consiliului din 26 iulie 2010 privind organizarea și funcționarea Serviciului European de Acțiune Externă, pot fi utilizate, după caz, dispoziții tranzitorii, prin înțelegeri la nivel de serviciu cu serviciile relevante ale Secretariatului General al Consiliului și ale Comisiei.
3. ÎR asigură coerența globală în aplicarea prezentei decizii și examinează în mod periodic aceste norme de securitate.
4. Normele de securitate ale SEAE urmează să fie puse în aplicare în strânsă cooperare cu autoritățile de securitate competente ale statelor membre, cu Oficiul de Securitate al Secretariatului General al Consiliului și cu Direcția Securitate din cadrul Direcției Generale Resurse Umane și Securitate a Comisiei.
5. SEAE se asigură că toate aspectele procesului de securitate sunt luate în considerare în cadrul sistemului SEAE de răspuns la situațiile de criză.
6. Directorul general administrativ, în calitate de autoritate de securitate, și șeful Direcției de securitate a SEAE asigură punerea în aplicare a prezentei decizii.
Articolul 21
Înlocuirea deciziilor anterioare
1. Prezenta decizie abrogă și înlocuiește Decizia Înaltului Reprezentant al Uniunii pentru afaceri externe și politica de securitate din 15 iunie 2011 privind normele de securitate pentru Serviciul European de Acțiune Externă (3).
2. Prezenta decizie abrogă Decizia Înaltului Reprezentant al Uniunii pentru afaceri externe și politica de securitate din 23 februarie 2011 privind desemnarea și sarcinile Autorității de securitate delegate a Serviciului European de Acțiune Externă.
Articolul 22
Dispoziții finale
Prezenta decizie intră în vigoare la data semnării sale.
Aceasta se publică în Jurnalul Oficial al Uniunii Europene.
Articolul 1
Obiectiv, domeniu de aplicare și definiții
1. Prezenta anexă stabilește principiile de bază și standardele minime de securitate pentru protecția IUEC.
2. Aceste principii de bază și standarde minime se aplică SEAE și personalului aflat sub responsabilitatea SEAE, astfel cum sunt menționate și definite la articolele 1 și 2 din prezenta decizie.
Articolul 2
Definiția IUEC, a clasificărilor și marcajelor de securitate
1. „Informațiile UE clasificate” (IUEC) înseamnă orice informații sau materiale desemnate ca atare printr-o clasificare de securitate a UE a căror divulgare neautorizată ar cauza prejudicii de diferite grade intereselor Uniunii Europene sau ale unuia sau mai multor state membre.
2. IUEC sunt clasificate la unul dintre următoarele niveluri:
(a) TRES SECRET UE/EU TOP SECRET: informații și materiale a căror divulgare neautorizată poate aduce prejudicii deosebit de grave intereselor esențiale ale Uniunii Europene sau ale unuia sau mai multor state membre.
(b) SECRET UE/EU SECRET: informații și materiale a căror divulgare neautorizată ar putea aduce prejudicii grave intereselor esențiale ale Uniunii Europene sau ale unuia sau mai multor state membre.
(c) CONFIDENTIEL UE/EU CONFIDENTIAL: informații și materiale a căror divulgare neautorizată ar putea aduce prejudicii intereselor esențiale ale Uniunii Europene sau ale unuia ori mai multor state membre.
(d) RESTREINT UE/EU RESTRICTED: informații și materiale a căror divulgare neautorizată ar putea fi în defavoarea intereselor Uniunii Europene sau ale unuia sau mai multor state membre.
3. IUEC au un marcaj de clasificare de securitate care respectă alineatul (2). Acestea pot avea marcaje suplimentare pentru a indica domeniul de activitate la care se referă, a identifica emitentul, a limita distribuirea, a restrânge utilizarea sau a preciza dacă pot fi comunicate.
Articolul 3
Gestionarea clasificărilor
1. SEAE se asigură că IUEC sunt clasificate corespunzător, că sunt identificate în mod clar ca informații clasificate și că nivelul de clasificare al acestora este menținut doar atât timp cât este necesar.
2. IUEC nu sunt clasificate la un nivel de securitate inferior sau declasificate și niciun marcaj menționat la articolul 2 alineatul (3) nu este modificat sau eliminat fără acordul prealabil scris al emitentului.
3. Autoritatea de securitate a SEAE aprobă, după consultarea Comitetului de securitate al SEAE în temeiul articolului 14 alineatul (5) din prezenta decizie, o politică de securitate privind crearea IUEC care include un ghid practic de clasificare.
Articolul 4
Protecția informațiilor clasificate
1. IUEC sunt protejate în conformitate cu prezenta decizie.
2. Deținătorul oricărei informații UE clasificate este responsabil de protecția acesteia, în conformitate cu prezenta decizie.
3. În cazul în care statele membre introduc informații clasificate care conțin un marcaj național de clasificare de securitate în structurile sau în rețelele SEAE, SEAE protejează informațiile respective în conformitate cu cerințele aplicabile IUEC de nivel echivalent, astfel cum se precizează în tabelul de echivalență a clasificărilor de securitate din apendicele B la Decizia 2011/292/UE a Consiliului din 31 martie 2011 privind normele de securitate pentru protecția informațiilor UE clasificate.
SEAE instituie proceduri adecvate pentru a ține o evidență exactă a emitentului
— informațiilor clasificate pe care le primește SEAE; și
— materialului-sursă inclus în informațiile clasificate emise de SEAE.
Comitetul de securitate al SEAE este informat cu privire la aceste proceduri.
4. Cantități mari de IUEC sau o compilație de astfel de informații poate justifica un nivel de protecție care corespunde unei clasificări al cărei nivel este mai ridicat decât cel al informațiilor componente.
Articolul 5
Securitatea personalului în ceea ce privește manipularea informațiilor UE clasificate
1. „Securitatea personalului” înseamnă aplicarea unor măsuri prin care se garantează că accesul la IUEC este acordat numai persoanelor:
— în cazul cărora există necesitatea de a cunoaște;
— care, pentru accesul la informații clasificate CONFIDENTIEL UE/EU CONFIDENTIAL sau la un nivel superior, au primit certificatul de securitate pentru nivelul corespunzător sau sunt autorizate în alt mod corespunzător în temeiul funcțiilor deținute în conformitate cu actele cu putere de lege și dispozițiile administrative naționale; și
— care au fost informate cu privire la responsabilitățile care le revin.
2. Procedurile de acordare a certificatului de securitate a personalului stabilesc dacă o persoană poate fi autorizată să aibă acces la IUEC, ținându-se seama de loialitatea și onestitatea acesteia și de încrederea pe care o inspiră.
3. Înainte de a primi acces la IUEC și, ulterior, la intervale regulate, întregul personal este informat și confirmă în scris ca a luat cunoștință de responsabilitățile care îi revin cu privire la protejarea IUEC, în conformitate cu prezenta decizie.
4. Anexa A I cuprinde dispozițiile pentru punerea în aplicare a prezentului articol.
Articolul 6
Securitatea fizică a informațiilor UE clasificate
1. Securitatea fizică reprezintă aplicarea măsurilor de protecție fizică și tehnică în vederea împiedicării accesului neautorizat la IUEC.
2. Măsurile de securitate fizică sunt concepute astfel încât să împiedice accesul clandestin sau forțat al vreunui intrus, să descurajeze, să împiedice și să detecteze acțiunile neautorizate și să permită stabilirea unei distincții între membrii personalului în privința accesului la IUEC, pe baza principiului necesității de a cunoaște. Aceste măsuri sunt stabilite pe baza unui proces de gestionare a riscurilor.
3. Măsurile de securitate fizică sunt instituite pentru toate incintele, clădirile, birourile, sălile și alte spații în care sunt manipulate sau păstrate IUEC, inclusiv spațiile în care sunt amplasate sistemele informatice și de comunicații, astfel cum sunt definite la articolul 8 alineatul (2).
4. Spațiile în care sunt păstrate IUEC clasificate CONFIDENTIEL UE/EU CONFIDENTIAL sau la un nivel superior sunt stabilite a fi zone securizate în conformitate cu anexa A II și aprobate de autoritatea de securitate a SEAE.
5. În vederea protejării IUEC clasificate CONFIDENTIEL UE/EU CONFIDENTIAL sau la un nivel superior se utilizează numai echipamente sau dispozitive aprobate.
6. Anexa A II cuprinde dispozițiile pentru punerea în aplicare a prezentului articol.
Articolul 7
Gestionarea informațiilor clasificate
1. Gestionarea informațiilor clasificate reprezintă aplicarea unor măsuri administrative pentru a controla IUEC pe durata ciclului lor de viață, în vederea completării măsurilor prevăzute la articolele 5, 6 și 8, contribuind astfel la împiedicarea, detectarea și remedierea compromiterii sau pierderii deliberate sau accidentale a informațiilor. Aceste măsuri se referă, în special, la crearea, înregistrarea, copierea, traducerea, transportul, manipularea, păstrarea și distrugerea IUEC.
2. Informațiile clasificate CONFIDENTIEL UE/EU CONFIDENTIAL sau la un nivel superior sunt înregistrate din motive de securitate înainte de a fi distribuite și la primirea acestora. În acest scop, autoritățile competente din SEAE înființează o registratură. Informațiile clasificate TRES SECRET UE/EU TOP SECRET sunt înregistrate în registre speciale.
3. Serviciile și incintele unde sunt manipulate sau păstrate IUEC sunt supuse unor inspecții periodice de către autoritatea de securitate a SEAE.
4. IUEC sunt transmise între servicii și incinte situate în afara zonelor protejate fizic după cum urmează:
(a) ca regulă generală, IUEC sunt transmise prin mijloace electronice protejate prin intermediul unor produse criptografice aprobate în conformitate cu articolul 7 alineatul (5) din prezenta decizie și în conformitate cu proceduri operaționale de securitate clar definite;
(b) în situațiile în care nu se utilizează mijloacele menționate la litera (a), IUEC sunt transportate: (i) fie pe suport electronic (de ex. stick-uri memorie USB, CD-uri, hard diskuri) protejat prin intermediul unor produse criptografice aprobate în conformitate cu articolul 7 alineatul (5) din prezenta decizie; fie (ii) în toate celelalte cazuri, conform indicațiilor primite de la autoritatea de securitate a SEAE, în conformitate cu măsurile de protecție relevante prevăzute în anexa A III secțiunea V.
5. Anexa A III cuprinde dispozițiile pentru punerea în aplicare a prezentului articol.
Articolul 8
Protecția IUEC manipulate în sistemele informatice și de comunicații
1. Asigurarea informațiilor (AI) în domeniul sistemelor informatice și de comunicații reprezintă certitudinea că aceste sisteme vor proteja informațiile pe care le manipulează și vor funcționa corespunzător, atunci când este necesar, sub controlul utilizatorilor legitimi. O AI eficace asigură niveluri adecvate de confidențialitate, integritate, disponibilitate, nerepudiere și autenticitate. AI se bazează pe un proces de gestionare a riscurilor.
2. „Sistemul informatic și de comunicații” (SIC) reprezintă un sistem care permite manipularea informațiilor în format electronic. Un sistem informatic și de comunicații cuprinde toate activele necesare pentru a funcționa, inclusiv infrastructura, organizarea, personalul și resursele informaționale. Prezenta anexă se aplică tuturor SIC ale SEAE care manipulează IUEC.
3. SIC manipulează IUEC în conformitate cu conceptul de AI.
4. Toate SIC care manipulează IUEC sunt supuse unui proces de acreditare. Acreditarea urmărește să garanteze faptul că au fost puse în aplicare toate măsurile de securitate corespunzătoare și că s-a obținut un nivel suficient de protecție a IUEC și a SIC, în conformitate cu prezenta decizie. Declarația de acreditare stabilește nivelul maxim de clasificare a informațiilor care pot fi manipulate de SIC, precum și termenii și condițiile acreditării respective.
5. SIC care manipulează informații clasificate CONFIDENTIEL UE/EU CONFIDENTIAL și la un nivel superior sunt protejate astfel încât informațiile să nu poată fi compromise prin emisii electromagnetice accidentale („măsuri de securitate TEMPEST”).
6. În cazul în care protecția IUEC este asigurată prin intermediul unor produse criptografice, acestea trebuie să fie aprobate în conformitate cu articolul 7 alineatul (5) din prezenta decizie.
7. În cursul transmiterii IUEC prin mijloace electronice, se folosesc produse criptografice aprobate. Fără a aduce atingere acestei cerințe, pot fi aplicate proceduri specifice în situații de urgență sau în cadrul unor configurații tehnice specifice, astfel cum se precizează în anexa A IV.
8. În temeiul articolului 7 alineatul (6) din prezenta decizie, vor fi create următoarele funcții aferente AI, în măsura în care este necesar:
(a) o autoritate AI (AAI);
(b) o autoritate TEMPEST (AT);
(c) o autoritate de aprobare criptografică (AAC);
(d) o autoritate de distribuire a materialului criptografic (ADMC).
9. În temeiul articolului 7 alineatul (7) din prezenta decizie, pentru fiecare sistem se instituie:
(a) o autoritate de acreditare în materie de securitate (AAS);
(b) o autoritate operațională AI.
10. Anexa A IV cuprinde dispozițiile pentru punerea în aplicare a prezentului articol.
Articolul 9
Securitatea industrială
1. Securitatea industrială reprezintă aplicarea de măsuri în vederea asigurării protecției IUEC de către contractanți sau subcontractanți în cursul negocierilor anterioare încheierii contractelor și pe toată durata contractelor clasificate. Ca regulă generală, astfel de contracte nu implică accesul la informații clasificate TRES SECRET UE/EU TOP SECRET.
2. SEAE poate încredința prin contract sarcini care implică sau determină accesul la IUEC sau manipularea sau păstrarea acestora de entități industriale sau de altă natură înregistrate într-un stat membru sau într-un stat terț cu care a fost încheiat un acord privind securitatea informațiilor sau un acord administrativ menționat la articolul 10 alineatul (1) din anexa A.
3. Atunci când atribuie contracte clasificate entităților industriale sau de altă natură, SEAE, în calitate de autoritate contractantă, asigură respectarea standardelor minime privind securitatea industrială stabilite în prezenta decizie și menționate în contract. SEAE asigură respectarea acestor standarde minime prin intermediul ANS/ASD competente.
4. Contractanții sau subcontractanții înregistrați într-un stat membru care participă la contracte sau subcontracte clasificate necesitând manipularea și păstrarea în cadrul incintelor proprii a informațiilor clasificate CONFIDENTIEL UE/EU CONFIDENTIAL sau SECRET UE/EU SECRET, fie în cursul executării contractelor respective, fie în etapa precontractuală, trebuie să dețină un certificat de securitate industrială (CSI) la nivelul de clasificare necesar, acordat de ANS, ASD sau oricare altă autoritate de securitate competentă din statul membru respectiv.
5. Personalul contractantului sau al subcontractantului ale cărui atribuții pot necesita accesul la informații clasificate CONFIDENTIEL UE/EU CONFIDENTIAL sau SECRET UE/EU SECRET în scopul executării unui contract clasificat deține un certificat de securitate a personalului (CSP) acordat de către Autoritatea națională de securitate (ANS), Autoritatea de securitate desemnată (ASD) corespunzătoare sau de către orice altă autoritate de securitate competentă, în conformitate cu actele cu putere de lege și dispozițiile administrative naționale și cu standardele minime prevăzute în anexa A I.
6. Anexa A V cuprinde dispozițiile pentru punerea în aplicare a prezentului articol.
Articolul 10
Schimbul de informații clasificate cu state terțe și organizații internaționale
1. SEAE poate schimba IUEC cu un stat terț sau cu o organizație internațională numai în cazul în care:
(a) este în vigoare un acord privind securitatea informațiilor între UE și statul terț sau organizația internațională respectivă, încheiat în conformitate cu articolul 37 din TUE și cu articolul 218 din TFUE; sau
(b) a intrat în vigoare un acord administrativ între ÎR și autoritățile de securitate competente din statul terț sau organizația internațională respectivă pentru schimbul de informații clasificate, în principiu, la un nivel nu mai ridicat decât RESTREINT UE/EU RESTRICTED, încheiat în conformitate cu procedura prevăzută la articolul 14 alineatul (5) din prezenta decizie; sau
(c) este aplicabil un acord-cadru sau un acord de participare ad hoc între UE și statul terț respectiv în contextul unei operațiuni PESAC de gestionare a crizelor, încheiat în conformitate cu articolul 37 din TUE și articolul 218 din TFUE,
iar condițiile prevăzute în instrumentul respectiv au fost îndeplinite.
Anexa A VI secțiunea V cuprinde excepții de la regula generală de mai sus.
2. Acordurile administrative menționate la alineatul (1) litera (b) conțin dispoziții care garantează că, atunci când statele terțe sau organizațiile internaționale primesc IUEC, aceste informații beneficiază de protecția corespunzătoare nivelului lor de clasificare, pe baza unor standarde minime cel puțin la fel de stricte precum cele instituite prin prezenta decizie.
Informațiile schimbate pe baza acordurilor menționate la alineatul (1) litera (c) se limitează la informațiile privind operațiunile PESAC la care participă statul terț în cauză pe baza acestor acorduri și în conformitate cu dispozițiile acestora.
3. Sunt organizate vizite de evaluare în statele terțe sau în cadrul organizațiilor internaționale, astfel cum sunt menționate la articolul 16 din prezenta decizie, pentru a se stabili eficacitatea măsurilor de securitate aplicate pentru protecția tuturor IUEC schimbate.
4. Decizia de a comunica IUEC deținute de SEAE către un stat terț sau o organizație internațională se ia de la caz la caz, în funcție de natura și conținutul informațiilor respective, de necesitatea de a cunoaște a destinatarului lor și de măsura în care acest lucru prezintă un avantaj pentru UE.
SEAE solicită consimțământul scris al oricărei entități care a furnizat informații clasificate ca material-sursă pentru IUEC care au fost emise de SEAE, pentru a se stabili că nu există obiecții cu privire la comunicarea acestora.
Dacă emitentul informațiilor clasificate a căror comunicare este avută în vedere nu este SEAE, SEAE trebuie să solicite, mai întâi, consimțământul scris al emitentului privind comunicarea acestora.
Dacă, cu toate acestea, SEAE nu poate stabili cine este emitentul, autoritatea de securitate a SEAE își asumă responsabilitatea emitentului după obținerea avizului favorabil unanim al statelor membre, astfel cum sunt reprezentate în Comitetul de securitate al SEAE.
5. Anexa A VI cuprinde dispozițiile pentru punerea în aplicare a prezentului articol.
Articolul 11
Încălcări ale securității și compromiterea informațiilor clasificate
1. Orice încălcare sau suspiciune de încălcare a securității și orice compromitere sau suspiciune de compromitere a informațiilor clasificate sunt raportate imediat Direcției de securitate a SEAE, care informează, după caz, Direcția Securitate din cadrul Direcției Generale Resurse Umane și Securitate a Comisiei și Oficiul de Securitate al Secretariatului General al Consiliului, statul membru (statele membre) în cauză sau o altă entitate interesată.
2. În cazul în care se cunoaște sau există motive rezonabile pentru a se suspecta că au fost compromise sau pierdute informații clasificate, Direcția de securitate a SEAE informează Direcția Securitate a Comisiei, Oficiul de Securitate al Secretariatului General al Consiliului, ANS a statului membru (statelor membre) în cauză sau orice altă entitate interesată, după caz, și ia toate măsurile corespunzătoare în conformitate cu actele cu putere de lege și dispozițiile administrative relevante pentru:
(a) a evalua potențialele prejudicii aduse intereselor UE sau ale statelor membre;
(b) a lua măsurile adecvate pentru a împiedica repetarea situației;
(c) a proteja elementele de probă;
(d) a asigura investigarea cazului de către membri ai personalului care nu sunt implicați în mod direct în încălcare, pentru a stabili faptele;
(e) a notifica autorităților competente efectele evenimentului și ale acțiunilor întreprinse; și
(f) a informa emitentul.
3. Orice membru al personalului aflat sub responsabilitatea SEAE care este responsabil de o încălcare a normelor de securitate stabilite în prezenta decizie poate fi pasibil de acțiune disciplinară în conformitate cu normele și reglementările aplicabile.
Orice persoană responsabilă de compromiterea sau pierderea unor informații clasificate este pasibilă de acțiuni disciplinare și/sau în justiție în conformitate cu actele cu putere de lege, normele și reglementările aplicabile.
Direcția Securitate din cadrul Direcției Generale Resurse Umane și Securitate a Comisiei, Oficiul de Securitate al Secretariatului General al Consiliului, ANS a statului membru (statelor membre) în cauză sau orice altă entitate interesată este imediat informată, după caz.
4. Pe durata desfășurării investigației privind încălcarea și/sau compromiterea, șeful Direcției de securitate a SEAE poate suspenda accesul persoanei respective la IUEC și la incintele SEAE. Direcția Securitate din cadrul Direcției Generale Resurse Umane și Securitate a Comisiei, Oficiul de Securitate al Secretariatului General al Consiliului, ANS a statului membru (statelor membre) în cauză sau orice altă entitate interesată este imediat informată cu privire la această decizie.