Regulamin Komisji.

ZAŁĄCZNIK 29 (uchylony).

ZAŁĄCZNIK 30

PRZEPISY BEZPIECZEŃSTWA KOMISJI

(1) W celu rozwoju działań Komisji w dziedzinach, które wymagają zachowania pewnego stopnia poufności, wskazane jest stworzenie całościowego systemu bezpieczeństwa obejmującego Komisję, inne instytucje, struktury, biura i agencje ustanowione na mocy Traktatu ustanawiającego Wspólnotę Europejską lub Traktatu o Unii Europejskiej, Państwa Członkowskie, a także wszelkich innych odbiorców informacji klasyfikowanych Unii Europejskiej, zwanych dalej "informacjami klasyfikowanymi UE".

(2) W celu zapewnienia skuteczności ustanowionego na tej podstawie systemu bezpieczeństwa Komisja będzie udostępniać informacje klasyfikowane UE jedynie tym zewnętrznym strukturom, które przedstawią zapewnienie, że przedsięwzięły wszystkie środki konieczne do stosowania zasad ściśle odpowiadających niniejszym przepisom.

(3) Niniejsze przepisy nie naruszają przepisów rozporządzenia nr 3 z dnia 31 lipca 1958 roku w sprawie wykonania art. 24 Traktatu ustanawiającego Europejską Wspólnotę Energii Atomowej 31 , rozporządzenia Rady (WE) nr 1588/90 z dnia 11 czerwca 1990 r. w sprawie przekazywania do Urzędu Statystycznego Wspólnot Europejskich danych statystycznych objętych zasadą poufności 32 i decyzji C (95) 1510 z dnia 23 listopada 1995 roku w sprawie ochrony systemów informatycznych.

(4) System bezpieczeństwa Komisji oparty jest na zasadach zawartych w decyzji Rady 2001/264/WE z dnia 19 marca 2001 r. w sprawie przyjęcia przepisów bezpieczeństwa Rady 33 , z uwagi na konieczność zapewnienia sprawnego przebiegu procesu podejmowania decyzji w Unii.

(5) Komisja podkreśla, że istotne jest, by także inne instytucje, gdy ma to zastosowanie, przyjmowały przepisy i standardy bezpieczeństwa niezbędne w celu ochrony interesów Unii i jej Państw Członkowskich.

(6) Komisja uznaje potrzebę stworzenia własnej koncepcji bezpieczeństwa, biorąc pod uwagę wszystkie elementy bezpieczeństwa i szczególny charakter Komisji jako instytucji.

(7) Niniejsze przepisy nie naruszają postanowień art. 255 Traktatu i rozporządzenia nr 1049/2001 Parlamentu Europejskiego i Rady z dnia 30 maja 2001 r. w sprawie publicznego dostępu do dokumentów Parlamentu Europejskiego, Rady i Komisji 34 ;

(8) Niniejsze przepisy nie naruszają art. 286 Traktatu i rozporządzenia (WE) nr 45/2001 Parlamentu Europejskiego i Rady z dnia 18 grudnia 2000 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych przez instytucje i organy Wspólnoty i o swobodnym przepływie takich danych.

Artykuł 2

1.

Członek Komisji odpowiedzialny za kwestie bezpieczeństwa jest zobowiązany do podjęcia odpowiednich środków w celu zapewnienia, że zasady, o których mowa w art. 1, są przestrzegane w toku pracy z informacjami klasyfikowanymi UE w ramach Komisji, przez jej urzędników i innych pracowników, przez osoby delegowane do pracy w Komisji, a także we wszystkich obiektach Komisji, włącznie z jej przedstawicielstwami i biurami w Unii oraz przedstawicielstwami w państwach trzecich, a także przez zewnętrznych kontrahentów.

W przypadku gdy umowa lub umowa o przyznanie dotacji pomiędzy Komisją a zewnętrznym kontrahentem lub beneficjentem dotyczy przetwarzania materiałów niejawnych UE w obiektach należących do wykonawcy lub beneficjenta, odpowiednie środki, które powinny zostać podjęte przez tego wspomnianego wykonawcę lub beneficjenta w celu zapewnienia, że zasady, o których mowa w art. 1, są przestrzegane w toku pracy z informacjami niejawnymi UE, stanowią integralną część tej umowy lub umowy o przyznanie dotacji.

2.

Państwa Członkowskie, inne instytucje, struktury, biura czy agencje, ustanowione z mocy lub na podstawie Traktatów, są uprawnione do otrzymywania informacji klasyfikowanych UE, pod warunkiem że zapewnią przestrzeganie w toku pracy z tymi informacjami zasad ściśle odpowiadających przepisom, o których mowa w art. 1, w ramach ich służb i obiektów, a w szczególności przez:

Artykuł 5

Od dnia rozpoczęcia stosowania niniejszych przepisów zastępują one:

Artykuł 6

Od dnia rozpoczęcia stosowania niniejszych przepisów wszystkie informacje klasyfikowane, które uprzednio znalazły się w Komisji, z wyłączeniem informacji Euratom:

ZAŁĄCZNIK

ZASADY BEZPIECZEŃSTWA

CZĘŚĆ I:

PODSTAWOWE ZASADY I MINIMALNE STANDARDY BEZPIECZEŃSTWA

2.

ZASADY OGÓLNE

Polityka bezpieczeństwa Komisji stanowi integralną część jej całościowej polityki wewnętrznego zarządzania i z tego względu jest oparta na zasadach rządzących całością jej działań.

Zasady te obejmują legalność, przejrzystość, odpowiedzialność i pomocniczość (proporcjonalność).

Legalność wskazuje na konieczność ścisłego przestrzegania przepisów prawa przy wykonywaniu zadań związanych z bezpieczeństwem oraz stosowania się do wymogów prawnych. Oznacza także, że zakresy odpowiedzialności w sferze bezpieczeństwa muszą być oparte na odpowiednich przepisach prawa. Pełne zastosowanie mają tu przepisy regulaminu pracowniczego, w szczególności art. 17 dotyczący obowiązku zachowania dyskrecji w odniesieniu do informacji Komisji oraz tytuł VI określający środki dyscyplinarne. Oznacza to także, że pociąganie do odpowiedzialności za przypadki nieprzestrzegania przepisów bezpieczeństwa w ramach obszaru odpowiedzialności Komisji odbywa się zgodnie z polityką Komisji w zakresie działań dyscyplinarnych i jej polityką dotyczącą współpracy z Państwami Członkowskimi w zakresie odpowiedzialności karnej.

Przejrzystość wskazuje na potrzebę zapewnienia jasności wszelkich zasad i przepisów w zakresie bezpieczeństwa, zachowania równowagi pomiędzy różnymi służbami i dziedzinami (bezpieczeństwo fizyczne przeciwko ochronie informacji itp.) oraz konieczność prowadzenia spójnej i odpowiednio ukierunkowanej polityki mającej na celu edukację w zakresie bezpieczeństwa. Określa ona także potrzebę opracowania zrozumiałych pisemnych wytycznych dotyczących wdrażania środków bezpieczeństwa.

Odpowiedzialność oznacza, że w sferze bezpieczeństwa muszą być jasno określone zakresy odpowiedzialności. Co więcej, wskazuje to na potrzebę regularnego sprawdzania, czy odpowiedzialność ta jest w odpowiedni sposób egzekwowana.

Pomocniczość, lub proporcjonalność, oznacza, że struktury bezpieczeństwa muszą być organizowane na najniższym możliwym poziomie organizacji i być jak najściślej związane z Dyrekcjami Generalnymi i służbami Komisji. Wskazuje to także, że działania w zakresie bezpieczeństwa należy ograniczyć tylko do tych komórek organizacyjnych, w których są one naprawdę potrzebne. Oznacza to również, że środki ochrony muszą być odpowiednie do chronionych interesów oraz do faktycznych lub potencjalnych zagrożeń, zapewniając obronę, która powoduje możliwie najmniejsze utrudnienia.

3.

PODSTAWY BEZPIECZEŃSTWA

Podstawy bezpieczeństwa tworzą:

a) w każdym z Państw Członkowskich, instytucja odpowiedzialna za:

1. pozyskiwanie i gromadzenie informacji operacyjnych dotyczących szpiegostwa, aktów sabotażu, terroryzmu i innych zagrożeń dla bezpieczeństwa państwa; oraz

2. dostarczanie informacji i porad swojemu rządowi, a za jego pośrednictwem Komisji, o istocie zagrożeń dla bezpieczeństwa i środków ochrony przed nimi;

b) w każdym z Państw Członkowskich, a także w ramach Komisji, władza techniczna INFOSEC, odpowiedzialna za współpracę z właściwymi władzami bezpieczeństwa w zakresie przekazywania informacji o zagrożeniach natury technicznej dla bezpieczeństwa i wskazywania środków przeciwdziałania;

c) systematyczna współpraca instytucji rządowych, agencji i właściwych służb instytucji europejskich w celu określania i zalecania, w zależności od potrzeb:

1. które osoby, informacje i zasoby wymagają ochrony; oraz

2. wspólnych standardów ochrony;

d) ścisła współpraca pomiędzy Dyrekcją ds. Bezpieczeństwa Komisji a innymi odpowiedzialnymi za bezpieczeństwo służbami instytucji europejskich oraz Biurem Bezpieczeństwa NATO (NOS).

4.

ZASADY BEZPIECZEŃSTWA INFORMACJI

4.1. Cele

Podstawowe cele ochrony informacji to:

a) ochrona informacji klasyfikowanych UE przed szpiegostwem, narażeniem na szwank ich bezpieczeństwa lub nieupoważnionym ujawnieniem;

b) ochrona informacji UE przetwarzanych w systemach i sieciach teleinformatycznych przed zagrożeniami dla ich poufności, integralności i dostępności;

c) ochrona pomieszczeń Komisji, w których znajdują się informacje UE, przed sabotażem i celowym złośliwym uszkodzeniem;

d) zapewnienie - w przypadku gdyby zastosowane środki ochrony zawiodły - możliwości oceny wyrządzonych szkód, ograniczenia ich skali oraz zastosowania niezbędnych środków zaradczych.

4.2. Definicje

W rozumieniu niniejszego dokumentu:

a) Pojęcie "informacje klasyfikowane UE" oznacza wszelkie informacje i materiały, których nieupoważnione ujawnienie mogłoby w różnym stopniu narazić na szkodę interesy UE bądź jednego lub kilku Państw Członkowskich, niezależnie od tego, czy informacja ta została wytworzona w UE, czy też przekazana przez Państwa Członkowskie, państwa trzecie lub organizacje międzynarodowe

b) Pojęcie "dokument" oznacza pismo, notatkę, sprawozdanie, memorandum, sygnał/depeszę, szkic, zdjęcie, slajd, film, mapę, plan, wykres, notes, matrycę, kalkę, taśmę z maszyny do pisania lub drukarki, taśmę, kasetę, twardy dysk, CD-ROM oraz każdy inny nośnik, na którym została utrwalona informacja.

c) Pojęcie "materiał" oznacza "dokument", zgodnie z definicją zawartą w literze b) powyżej, a także dowolną część wyposażenia lub broni wyprodukowanych lub będących w trakcie produkcji.

d) Pojęcie "ograniczony dostęp" oznacza określenie, że dany pracownik powinien uzyskać dostęp do informacji klasyfikowanych UE w związku z pełnieniem swojego stanowiska lub wykonywaniem zadania.

e) "Upoważnienie" oznacza decyzję dyrektora Dyrekcji ds. Bezpieczeństwa Komisji o przyznaniu danej osobie dostępu do informacji klasyfikowanych UE o określonym poziomie tajności, na podstawie pozytywnego wyniku postępowania sprawdzającego, przeprowadzonego na podstawie przepisów danego państwa przez krajową władzę bezpieczeństwa.

f) Pojęcie "klauzula tajności" oznacza określenie odpowiedniego poziomu ochrony informacji, której nieupoważnione ujawnienie mogłoby w pewnym stopniu narazić na szkodę interesy Komisji lub Państwa Członkowskiego.

g) Pojęcie "obniżenie klauzuli" (déclassement) oznacza zmianę klauzuli na niższą.

h) Pojęcie "zniesienie klauzuli" (déclassfication) oznacza pozbawienie informacji klauzuli tajności.

i) Pojęcie "wytwórca" oznacza odpowiednio upoważnionego autora dokumentu klasyfikowanego. W obrębie Komisji dyrektorzy departamentów mogą upoważniać podległych im pracowników do wytwarzania informacji klasyfikowanych UE.

j) Pojęcie "departamenty Komisji" oznacza departamenty i służby Komisji, w tym gabinety, we wszystkich miejscach zatrudnienia, w tym także Wspólne Centrum Badawcze, przedstawicielstwa i biura w Unii i delegatury w państwach trzecich.

4.3. Klauzule tajności

a) W przypadkach gdy konieczne jest zastosowanie środków bezpieczeństwa, niezbędne jest dokonanie rozważnej i opartej na doświadczeniu oceny, które informacje i materiały wymagają ochrony, i określenie zakresu tej ochrony. Najistotniejsze jest dostosowanie jej stopnia do znaczenia - z punktu widzenia bezpieczeństwa - danej informacji lub materiału, które mają zostać objęte ochroną. W celu zapewnienia możliwie swobodnego przepływu informacji należy podjąć kroki w celu zapobiegania zarówno zawyżaniu, jak i zaniżaniu klauzuli.

b) System nadawania klauzul stanowi instrument zapewniający wdrażanie w życie powyższych zasad. Podobny system nadawania klauzul powinien być stosowany w toku planowania i realizacji działań mających na celu przeciwdziałanie szpiegostwu, aktom sabotażu, terroryzmowi i innym zagrożeniom, tak aby najściślejszą ochroną były objęte najważniejsze obiekty, w których znajdują się informacje klasyfikowane, oraz ich najbardziej newralgiczne punkty.

c) Wyłącznie wytwórca informacji odpowiada za nadanie jej klauzuli.

d) Poziom klauzuli może być określony wyłącznie na podstawie zawartości informacji.

e) W przypadku łączenia elementów różnych informacji całości nadaje się klauzulę tajności co najmniej odpowiadającą najwyższej klauzuli wykorzystanych informacji. Zbiorowi informacji można jednak nadać klauzulę wyższą niż jego poszczególnym częściom.

f) Klauzulę tajności nadaje się wyłącznie wtedy, gdy jest to konieczne, i na niezbędny okres.

4.4. Cele stosowania środków bezpieczeństwa

Środki bezpieczeństwa muszą:

a) obejmować wszystkie osoby, które mają dostęp do informacji klasyfikowanych, nośniki tych informacji, wszystkie obiekty, w których się one znajdują, oraz ważne instalacje;

b) być zaprojektowane w sposób zapewniający wykrycie osób, które z racji uplasowania mogłyby stanowić zagrożenie dla bezpieczeństwa informacji lub ważnych instalacji, w których znajdują się takie informacje, oraz pozwalający na uniemożliwienie im dostępu do informacji lub usunięcie ich ze stanowiska;

c) zapobiegać uzyskiwaniu przez osoby nieupoważnione dostępu do informacji klasyfikowanych lub zawierających je instalacji;

d) zapewnić, że wszystkie informacje klasyfikowane są udostępniane zgodnie z zasadą ograniczonego dostępu, który stanowi podstawę wszystkich wymiarów bezpieczeństwa;

e) zapewnić integralność (tzn. zapobiegać dokonywaniu zmian lub niszczeniu informacji w sposób nieupoważniony) i dostępność (tzn. zapewniać uzyskanie dostępu przez osoby, które powinny zapoznać się z informacją i zostały do tego upoważnione) wszystkich informacji, klasyfikowanych i jawnych, w szczególności przechowywanych, przetwarzanych lub przesyłanych w postaci elektromagnetycznej.

5.

ORGANIZACJA SYSTEMU BEZPIECZEŃSTWA

5.1. Wspólne standardy minimalne

Komisja jest zobowiązana do zapewnienia, że wspólne standardy minimalne w zakresie bezpieczeństwa są przestrzegane przez wszystkich odbiorców informacji klasyfikowanych UE, w ramach instytucji i w zakresie jej właściwości, tj. przez wszystkie departamenty i kontrahentów, tak by przekazywaniu informacji klasyfikowanych UE towarzyszyła pewność, że będą one chronione z zachowaniem należytej staranności. Standardy minimalne obejmują kryteria stosowane w toku postępowań sprawdzających oraz procedury ochrony informacji klasyfikowanych UE.

Komisja zezwala na udostępnienie informacji klasyfikowanych UE podmiotom zewnętrznym wyłącznie wtedy, gdy zapewnią one, że w toku wykorzystywania tych informacji przestrzegane są przepisy co najmniej ściśle odpowiadające niniejszym standardom minimalnym.

Takie minimalne standardy zostaną także zastosowane w przypadku, gdy Komisja na podstawie umowy lub umowy o przyznanie dotacji powierza zadania obejmujące informacje niejawne UE, wiążące się z takimi informacjami i/lub je zawierające, podmiotom prowadzącym działalność przemysłową lub inną: takie wspólne minimalne standardy zawarte są w sekcji 27 części II.

5.2. Organizacja

W ramach Komisji system bezpieczeństwa ma charakter dwupoziomowy:

a) Na poziomie Komisji jako całości istnieje Dyrekcja ds. Bezpieczeństwa Komisji razem z władzą akredytacji bezpieczeństwa (SAA), pełniącą także funkcję władzy kryptograficznej (CrA) i władzy TEMPEST, oraz władzą bezpieczeństwa teleinformatycznego (IA), a także jedną lub kilkoma głównymi kancelariami tajnymi UE, z których każda zatrudnia jednego lub kilku urzędników kontroli kancelarii (RCO).

b) Na poziomie poszczególnych departamentów Komisji za bezpieczeństwo są odpowiedzialni jeden lub kilku lokalnych pełnomocników ochrony (LSO), jeden lub kilku głównych inspektorów bezpieczeństwa teleinformatycznego (CISO), lokalni inspektorzy bezpieczeństwa teleinformatycznego (LISO) oraz lokalne kancelarie tajne UE, zatrudniające jednego lub kilku urzędników kontroli kancelarii (RCO).

c) Struktury bezpieczeństwa funkcjonujące na poziomie centralnym są zobowiązane do nadzorowania pracy struktur lokalnych.

6.

BEZPIECZEŃSTWO OSOBOWE

6.1. Postępowania sprawdzające

Wszystkie osoby, które powinny uzyskać dostęp do informacji o klauzuli CONFIDENTIEL UE lub wyższej, przed uzyskaniem prawa dostępu zostają odpowiednio sprawdzone. Podobne postępowanie jest wymagane w odniesieniu do osób, których obowiązki służbowe obejmują przeprowadzanie czynności technicznych związanych z dokonywaniem operacji w ramach systemów i sieci teleinformatycznych zawierających informacje klasyfikowane lub też z utrzymaniem ich funkcjonowania. Postępowanie ma za zadanie określenie, czy dana osoba:

a) jest w pełni lojalna;

b) jej charakter i dyskrecja nie nasuwają podejrzeń co do jej uczciwości w postępowaniu z informacjami klasyfikowanymi; lub

c) może być podatna na naciski ze strony zagranicznych lub innych źródeł.

Postępowania o szczególnie szerokim zakresie prowadzi się wobec osób, które:

d) mają uzyskać dostęp do informacji o klauzuli TRES SECRET UE/EU TOP SECRET;

e) zajmują stanowiska związane z systematycznym dostępem do dużej ilości informacji o klauzuli SECRET UE;

f) których obowiązki obejmują dostęp do szczególnie ważnych dla wypełniania zadań systemów i sieci teleinformatycznych i które z tego względu mogą uzyskać nieupoważniony dostęp do dużych ilości informacji klasyfikowanych UE lub spowodować poważne szkody poprzez akty technicznego sabotażu.

W okolicznościach określonych w lit. d), e) i f) należy możliwie najpełniej zastosować techniki zbadania przeszłości tych osób.

Obowiązkowi poddania się odpowiedniemu sprawdzeniu podlegają także osoby, które nie spełniają wymogów ograniczonego dostępu, ale mają zostać zatrudnione na stanowiskach, na których mogą uzyskać dostęp do informacji klasyfikowanych UE (jak np. kurierzy, pracownicy pionu ochrony, konserwatorzy, sprzątaczki).

6.2. Wykazy osób, które zostały poddane postępowaniom sprawdzającym

Wszystkie departamenty Komisji, które wykorzystują informacje klasyfikowane UE lub w których mieszczą się zabezpieczone systemy teleinformatyczne, są zobowiązane do prowadzenia wykazu zatrudnionych w nich pracowników, którzy przeszli postępowania sprawdzające. Każde postępowanie jest w miarę potrzeb poddawane weryfikacji pod względem adekwatności do stanowiska aktualnie zajmowanego przez daną osobę. Niezwłoczne przeprowadzenie takiej weryfikacji jest obligatoryjne, gdy zostanie uzyskana nowa informacja wskazująca, że dalsze zatrudnienie danej osoby na stanowisku związanym z dostępem do informacji klasyfikowanych nie jest wskazane ze względów bezpieczeństwa. Wykaz pracowników danej struktury, które zostały poddane postępowaniom sprawdzającym, jest prowadzony przez lokalnego pełnomocnika ochrony.

6.3. Szkolenie w zakresie bezpieczeństwa

Wszystkie osoby zatrudnione na stanowiskach związanych z możliwością uzyskania dostępu do informacji klasyfikowanych w momencie podejmowania obowiązków przechodzą dokładne przeszkolenie, które uświadomi im cel stosowania środków ochrony oraz zapozna z procedurami w zakresie bezpieczeństwa; szkolenia takie są powtarzane w regularnych odstępach czasu. Wymagane jest, by przeszkoleni pracownicy potwierdzili na piśmie, że przeczytali i w pełni rozumieją aktualne przepisy bezpieczeństwa.

6.4. Obowiązki przełożonych

Przełożeni mają obowiązek orientować się, którzy z podlegających im pracowników mają dostęp do informacji klasyfikowanych lub zabezpieczonych systemów i sieci teleinformatycznych. Są oni także zobowiązani do odnotowywania i zgłaszania wszelkich incydentów oraz stwierdzonych słabości systemu ochrony, które mogą mieć wpływ na bezpieczeństwo.

6.5. Status bezpieczeństwa personelu

Ustanawia się procedury zapewniające, że w przypadku gdy pojawią się wątpliwości w zakresie spełniania warunków bezpieczeństwa przez danego pracownika, zostanie przeprowadzone sprawdzenie, czy osoba ta wykonuje pracę związaną z dostępem do informacji klasyfikowanych lub zabezpieczonych systemów i sieci teleinformatycznych; o rezultacie tego sprawdzenia informuje się Dyrekcję ds. Bezpieczeństwa Komisji. W przypadku ustalenia, że osoba ta zagraża bezpieczeństwu, musi zostać odsunięta od dostępu do informacji lub systemów albo usunięta ze stanowiska, na którym może stwarzać niebezpieczeństwo.

7.

BEZPIECZEŃSTWO FIZYCZNE

7.1. Potrzeba ochrony

Zakres środków bezpieczeństwa fizycznego, które są stosowane do ochrony informacji klasyfikowanych UE, musi odpowiadać klauzuli tajności i ilości posiadanych informacji i materiałów oraz istniejącym zagrożeniom. Wszystkie osoby, w których dyspozycji znajdują się informacje klasyfikowane UE, są zobowiązane do przestrzegania jednolitych zasad odnoszących się do określania klauzuli tych informacji i wspólnych standardów ochrony odnoszących się do postępowania z informacjami i materiałami wymagającymi ochrony, ich przesyłania i niszczenia.

7.2. Kontrola

Przed opuszczeniem stref, w których znajdują się informacje klasyfikowane UE, osoby sprawujące nad nimi pieczę są zobowiązane do zapewnienia, że informacje są przechowywane w bezpieczny sposób oraz że zostały zamknięte zamki i uaktywnione systemy alarmowe. Po godzinach pracy powinny być prowadzone kolejne, niezależne sprawdzenia.

7.3. Bezpieczeństwo budynków

Budynki, w których znajdują się informacje klasyfikowane UE lub zabezpieczone systemy i sieci teleinformatyczne, są chronione przed możliwością uzyskania do nich nieupoważnionego dostępu. Sposób ochrony informacji klasyfikowanych UE, np. przez zastosowanie krat w oknach, zamków, straży przy wejściach, automatycznych systemów kontroli dostępu, kontroli bezpieczeństwa i patroli, systemów alarmowych, systemów wykrywania wtargnięcia i psów strażniczych, musi być określony na podstawie:

a) klauzuli tajności i ilości informacji i materiałów podlegających ochronie oraz usytuowania pomieszczeń, w których są przechowywane;

b) jakości sejfów i szaf metalowych wykorzystywanych do przechowywania tych informacji i materiałów;

c) rodzaju i lokalizacji budynku.

Podobnie sposób ochrony systemów i sieci teleinformatycznych musi być określony na podstawie oceny wagi zasobów oraz stopnia szkód związanych z potencjalnym narażeniem na szwank bezpieczeństwa, rodzaju i lokalizacji budynku, w którym znajdują się systemy i sieci teleinformatyczne oraz umiejscowienia systemu w budynku.

7.4. Plany ochrony na wypadek sytuacji nadzwyczajnych

Wymagane jest przygotowanie szczegółowych planów ochrony informacji klasyfikowanych na wypadek wystąpienia zagrożeń o skali lokalnej lub ogólnokrajowej.

8.

BEZPIECZEŃSTWO TELEINFORMATYCZNE (INFOSEC)

INFOSEC obejmuje określenie i zastosowanie środków ochrony informacji przetwarzanych, przechowywanych lub przesyłanych w systemach teleinformatycznych lub innych elektronicznych, przed utratą ich poufności, integralności i dostępności, zarówno przypadkową, jak i zamierzoną. Wymagane jest podjęcie odpowiednich środków przeciwdziałania w celu zapobiegania przypadkom: uzyskania dostępu do informacji klasyfikowanych UE przez osoby nieupoważnione, uniemożliwienia uzyskania dostępu osobom upoważnionym oraz wprowadzania nieupoważnionych zmian lub niszczenia informacji klasyfikowanych UE.

9.

PRZECIWDZIAŁANIE SABOTAŻOWI ORAZ INNYM FORMOM ZŁOŚLIWEGO I CELOWEGO SZKODZENIA

Zastosowanie środków bezpieczeństwa fizycznego do ochrony ważnych instalacji, w których znajdują się informacje klasyfikowane UE, stanowi najlepsze zabezpieczenie przed sabotażem oraz złośliwym i celowym szkodzeniem; same procedury sprawdzeniowe wobec pracowników nie są wystarczające. Właściwa instytucja państwowa powinna zbierać informacje operacyjne dotyczące szpiegostwa, aktów sabotażu, terroryzmu i innych zagrożeń dla bezpieczeństwa państwa.

10.

UDOSTĘPNIANIE INFORMACJI KLASYFIKOWANYCH PAŃSTWOM TRZECIM I ORGANIZACJOM MIĘDZYNARODOWYM

Decyzję o udostępnieniu informacji wytworzonej w ramach Komisji państwu trzeciemu lub organizacji międzynarodowej może podjąć wyłącznie Komisja jako ciało kolegialne. Jeśli informacja, której dotyczy wniosek, nie została wytworzona w ramach Komisji, jest ona zobowiązana do uzyskania zgody wytwórcy na jej udostępnienie. W przypadku gdy nie można ustalić wytwórcy, jego uprawnienia przejmuje Komisja.

W przypadku gdy Komisja otrzymuje informacje klasyfikowane od państw trzecich, organizacji międzynarodowych lub innych stron trzecich, jest zobligowana do zapewnienia im ochrony odpowiedniej do ich klauzuli tajności i zgodnie ze standardami określonymi przez poniższy dokument dla informacji klasyfikowanych UE lub też ściślejszej ochrony, jeśli zażąda tego strona trzecia udostępniająca informacje. Istnieje możliwość przeprowadzania wzajemnych kontroli.

Powyższe zasady są wdrażane w życie zgodnie z przepisami szczegółowymi zawartymi w części II sekcja 26 oraz dodatkach 3, 4 i 5.

CZĘŚĆ II:

ORGANIZACJA BEZPIECZEŃSTWA W KOMISJI

11.

CZŁONEK KOMISJI ODPOWIEDZIALNY ZA KWESTIE BEZPIECZEŃSTWA

Członek Komisji odpowiedzialny za kwestie bezpieczeństwa odpowiada za:

a) wdrażanie polityki bezpieczeństwa Komisji;

b) rozpatrywanie problemów bezpieczeństwa zgłaszanych przez Komisję lub jej właściwe struktury;

c) rozpatrywanie kwestii wiążących się z koniecznością wprowadzania zmian w polityce bezpieczeństwa Komisji, w ścisłej współpracy z krajowymi (lub innymi właściwymi) władzami bezpieczeństwa Państw Członkowskich (zwanymi dalej krajowymi władzami bezpieczeństwa).

W szczególności członek Komisji odpowiedzialny za kwestie bezpieczeństwa jest odpowiedzialny za:

a) koordynowanie wszelkich kwestii związanych z bezpieczeństwem przedsięwzięć podejmowanych przez Komisję;

b) przekazywanie za pośrednictwem wyznaczonych instytucji Państw Członkowskich wniosków do krajowych władz bezpieczeństwa o przeprowadzenie postępowań sprawdzających wobec osób zatrudnionych w Komisji, zgodnie z postanowieniami sekcji 20;

c) przeprowadzanie postępowania wyjaśniającego lub zlecanie przeprowadzenia takiego postępowania w każdym przypadku przecieku informacji klasyfikowanych UE, o którym na podstawie pierwotnego rozpoznania sądzi się, że jego źródłem jest Komisja;

d) wnioskowanie do odpowiednich władz bezpieczeństwa o rozpoczęcie postępowania wyjaśniającego, gdy wydaje się, że przeciek informacji klasyfikowanych UE miał miejsce poza Komisją, oraz koordynowanie postępowań w przypadku, gdy zaangażowanych jest więcej niż jedna władza bezpieczeństwa;

e) przeprowadzanie okresowych kontroli rozwiązań w zakresie ochrony informacji klasyfikowanych UE;

f) utrzymywanie ścisłych kontaktów ze wszystkim właściwymi władzami bezpieczeństwa w celu osiągnięcia pełnej koordynacji w zakresie ochrony informacji klasyfikowanych;

g) dokonywanie stałych przeglądów polityki bezpieczeństwa Komisji i stosowanych procedur ochrony i, gdy zachodzi taka potrzeba, opracowywanie odpowiednich zaleceń. W tym zakresie członek Komisji odpowiedzialny za kwestie bezpieczeństwa jest zobowiązany do przedstawiania Komisji rocznego planu inspekcji przygotowywanego przez Dyrekcję ds. Bezpieczeństwa Komisji.

12.

GRUPA DORADCZA KOMISJI DO SPRAW POLITYKI BEZPIECZEŃSTWA

Ustanawia się Grupę Doradczą Komisji do spraw Polityki Bezpieczeństwa. W jej skład wchodzą przedstawiciele krajowych władz bezpieczeństwa Państw Członkowskich. Grupie przewodniczy członek Komisji odpowiedzialny za kwestie bezpieczeństwa lub osoba przez niego wyznaczona. Do udziału w posiedzeniach mogą być także zapraszani przedstawiciele innych instytucji europejskich, a także przedstawiciele odpowiednich zdecentralizowanych agencji WE i UE, jeśli omawiane są sprawy ich dotyczące.

Grupa Doradcza Komisji do spraw Polityki Bezpieczeństwa spotyka się na wniosek przewodniczącego lub każdego z jej członków. Grupa jest uprawniona do rozpatrywania i poddawania ocenie wszystkich istotnych kwestii bezpieczeństwa oraz do przedstawiania - w miarę potrzeb - odpowiednich zaleceń Komisji.

13.

RADA BEZPIECZEŃSTWA KOMISJI

Ustanawia się Radę Bezpieczeństwa Komisji. Tworzą ją dyrektor generalny ds. administracji i personelu, pełniący funkcję przewodniczącego, członek gabinetu komisarza odpowiedzialnego za sprawy bezpieczeństwa, członek gabinetu przewodniczącego, zastępca sekretarza generalnego, pełniący funkcję przewodniczącego grupy Komisji ds. zarządzania kryzysami, dyrektorzy generalni służby prawnej, ds. stosunków międzynarodowych, sprawiedliwości, wolności i bezpieczeństwa, Wspólnego Centrum Badawczego, informatyki i służby audytu wewnętrznego oraz dyrektor Dyrekcji ds. Bezpieczeństwa Komisji lub ich przedstawiciele.

Do udziału w pracach Rady mogą być zapraszani inni urzędnicy Komisji. W zakresie właściwości Rady pozostaje dokonywanie oceny środków bezpieczeństwa stosowanych w ramach Komisji oraz przedstawianie odpowiednich zaleceń członkowi Komisji odpowiedzialnemu za kwestie bezpieczeństwa.

14.

DYREKCJA DS. BEZPIECZEŃSTWA KOMISJI

W celu wypełnienia obowiązków określonych w sekcji 11 członek Komisji odpowiedzialny za kwestie bezpieczeństwa ma do dyspozycji Dyrekcję ds. Bezpieczeństwa Komisji, którego zadaniem jest koordynacja, nadzór i wdrażanie środków bezpieczeństwa.

Dyrektor Dyrekcji ds. Bezpieczeństwa Komisji jest głównym doradcą do spraw bezpieczeństwa członka Komisji odpowiedzialnego za kwestie bezpieczeństwa oraz sprawuje funkcję sekretarza Grupy Doradczej Komisji do spraw Polityki Bezpieczeństwa. W tym zakresie jest on zobowiązany do kierowania procesem uaktualniania przepisów bezpieczeństwa oraz do koordynacji stosowania środków ochrony z właściwymi instytucjami Państw Członkowskich oraz, w miarę potrzeb, organizacjami międzynarodowymi, które zawarły z Komisją umowy o bezpieczeństwie. W tym celu będzie spełniał funkcję oficera łącznikowego.

Dyrektor Dyrekcji ds. Bezpieczeństwa Komisji jest odpowiedzialny za zatwierdzanie systemów i sieci teleinformatycznych w ramach Komisji. Dyrektor Dyrekcji ds. Bezpieczeństwa Komisji, w porozumieniu z właściwą krajową władzą bezpieczeństwa, podejmuje decyzje o zatwierdzeniu systemów i sieci teleinformatycznych obejmujących z jednej strony Komisję, z drugiej zaś wszelkich odbiorców informacji klasyfikowanych UE.

15.

KONTROLE W ZAKRESIE BEZPIECZEŃSTWA

Dyrekcja ds. Bezpieczeństwa Komisji jest zobowiązana do przeprowadzania okresowych kontroli rozwiązań w zakresie ochrony informacji klasyfikowanych UE.

Dyrekcja ds. Bezpieczeństwa Komisji może w wykonywaniu tego zadania korzystać z pomocy służb bezpieczeństwa innych instytucji unijnych, dysponujących informacjami klasyfikowanymi UE lub krajowych władz bezpieczeństwa Państw Członkowskich 35 .

Na wniosek Państwa Członkowskiego, jego krajowa władza bezpieczeństwa może - wspólnie i w porozumieniu z Dyrekcją ds. Bezpieczeństwa Komisji - przeprowadzić w Komisji kontrolę w zakresie ochrony informacji klasyfikowanych UE.

16.

KLAUZULE, ZASTRZEŻENIA I OZNACZENIA

16.1. Klauzule tajności 36

Informacjom mogą być nadawane następujące klauzule tajności (por. także załącznik 2):

TRES SECRET UE/EU TOP SECRET: klauzulę tę nadaje się tylko informacji lub materiałowi, których nieupoważnione ujawnienie spowodowałoby wyjątkowo duże szkody dla podstawowych interesów Unii Europejskiej albo jednego lub więcej Państw Członkowskich.

SECRET UE: klauzulę tę nadaje się tylko informacji lub materiałowi, których nieupoważnione ujawnienie mogłoby poważnie zaszkodzić podstawowym interesom Unii Europejskiej albo jednego lub więcej Państw Członkowskich.

CONFIDENTIEL UE: klauzulę tę nadaje się informacji lub materiałowi, których nieupoważnione ujawnienie mogłoby zaszkodzić podstawowym interesom Unii Europejskiej albo jednego lub więcej Państw Członkowskich.

RESTREINT UE: klauzulę tę nadaje się informacji lub materiałowi, których nieupoważnione ujawnienie byłoby niekorzystne z punktu widzenia interesów Unii Europejskiej albo jednego lub więcej Państw Członkowskich.

Nie dopuszcza się stosowania innych klauzul.

16.2. Zastrzeżenia

W celu określenia terminu obowiązywania klauzuli tajności (co w przypadku informacji klasyfikowanych oznacza automatyczne obniżenie lub zniesienie klauzuli) dopuszczalne jest stosowanie uzgodnionych zastrzeżeń.

Zastrzeżenie może mieć formę "Obowiązuje do (czas/data)" lub "Obowiązuje do (wydarzenie)".

W przypadkach gdy istnieje potrzeba ograniczenia kręgu odbiorców lub wskazania na szczególne zasady postępowania z dokumentem, stanowiące uzupełnienie środków określonych na podstawie klauzuli tajności, należy stosować dodatkowe zastrzeżenia, takie jak CRYPTO lub inne uznawane w ramach UE.

Zastrzeżeń używa się wyłącznie w połączeniu z klauzulą tajności.

16.3. Oznaczenia

Możliwe jest stosowanie dodatkowych oznaczeń w celu określenia dziedziny, do której odnosi się dokument, lub szczególnego kręgu odbiorców, zgodnie z zasadą ograniczonego dostępu, lub - w przypadku informacji nieklasyfikowanych - czasu obowiązywania embarga.

Oznaczenie nie jest klauzulą tajności i nie może być stosowane zamiast niej.

Oznaczenie ESDP nadaje się dokumentom dotyczącym zagadnień bezpieczeństwa i obrony Unii albo jednego lub więcej jej Państw Członkowskich, bądź odnoszącym się do wojskowego lub cywilnego zarządzania kryzysowego, a także kopiom takich dokumentów.

16.4. Nanoszenie klauzul

Klauzule nanosi się w następujący sposób:

a) na dokumentach RESTREINT UE: za pomocą środków mechanicznych lub elektronicznych,

b) na dokumentach CONFIDENTIEL UE: za pomocą środków mechanicznych i ręcznie; możliwe jest także drukowanie ich na wcześniej oznakowanych i zarejestrowanych arkuszach,

c) na dokumentach SECRET UE i TRES SECRET UE/EU TOP SECRET: za pomocą środków mechanicznych i ręcznie.

16.5. Nanoszenie zastrzeżeń

Zastrzeżenia muszą być nanoszone tak samo, jak klauzule tajności, bezpośrednio pod nimi.

17.

ZASADY NADAWANIA KLAUZUL

17.1. Uwagi ogólne

Informacja powinna być objęta klauzulą tajności tylko wtedy, gdy jest to konieczne. Klauzula musi być wyraźnie i prawidłowo naniesiona. Może być utrzymywana tylko przez niezbędny okres.

Wyłącznie wytwórca odpowiada za nadanie klauzuli oraz, następnie, za jej obniżenie lub zniesienie.

Urzędnicy i inni pracownicy Komisji mogą nadawać klauzule, obniżać je lub znosić wyłącznie na polecenie lub za zgodą dyrektora departamentu.

Szczegółowe procedury postępowania z dokumentami klasyfikowanymi zostały określone w sposób zapewniający, że są one chronione w sposób odpowiedni dla zawartych w nich informacji.

Liczba osób upoważnionych do wytwarzania dokumentów o klauzuli TRES SECRET UE/EU TOP SECRET musi być ograniczona do niezbędnego minimum, a ich nazwiska umieszczone na wykazie prowadzonym przez Dyrekcję ds. Bezpieczeństwa Komisji.

17.2. Stosowanie klauzul

Klauzula danego dokumentu jest określana na podstawie stopnia sensytywności zawartych w nim informacji, zgodnie z definicjami zamieszczonymi w sekcji 16. Ważne jest, by klauzule były stosowane prawidłowo i oszczędnie. Odnosi się to w szczególności do klauzuli TRES SECRET UE/EU TOP SECRET.

Wytwórca dokumentu, który zamierza nadać mu klauzulę tajności, musi pamiętać o powyższych przepisach i opanować wszelkie tendencje zarówno do zawyżania, jak i zaniżania klauzuli.

Praktyczne zalecenia odnoszące się do określania klauzuli są zawarte w dodatku 2.

Poszczególne strony, ustępy, punkty, załączniki, dodatki, załączniki lub uzupełnienia do danego dokumentu mogą wymagać objęcia ich inną klauzulą tajności; z tego względu wymagane jest ich odpowiednie oznakowanie. Klauzula całego dokumentu musi odpowiadać klauzuli jego najwyżej zaklasyfikowanej części.

Klauzula pisma przewodniego lub noty poprzedzającej załączniki musi odpowiadać najwyższej klauzuli pism do nich załączonych. Wytwórca powinien jasno określić poziom klauzuli pisma przewodniego lub noty po odłączeniu ich od załączników.

Kwestie publicznego dostępu do informacji są określone w rozporządzeniu (WE) nr 1049/2001.

17.3. Obniżanie i znoszenie klauzul

Klauzula tajności dokumentów klasyfikowanych UE może być obniżona lub zniesiona wyłącznie za pozwoleniem wytwórcy oraz, gdy istnieje taka potrzeba, w uzgodnieniu z innymi zainteresowanymi stronami. Decyzja o obniżeniu lub zniesieniu klauzuli musi być potwierdzona na piśmie. Wytwórca jest zobowiązany do informowania odbiorców informacji o zmianie klauzuli; adresaci są z kolei odpowiedzialni za poinformowanie o tym kolejnych osób, do których przesłali dokument lub dla których wykonali jego kopię.

Wytwórca jest zobowiązany, w miarę możliwości, do określenia na dokumencie klasyfikowanym daty lub okresu, gdy jego klauzula może zostać obniżona lub zniesiona. W przeciwnym razie wytwórcy są zobowiązani do przeprowadzania przynajmniej raz na 5 lat przeglądu dokumentów w celu dokonania oceny, czy nadana klauzula nadal jest konieczna.

18.

BEZPIECZEŃSTWO FIZYCZNE

18.1. Uwagi ogólne

Podstawowym celem stosowania środków ochrony fizycznej jest zapobieganie: przypadkom uzyskania przez osoby nieupoważnione dostępu do informacji i/lub materiałów klasyfikowanych UE, kradzieży i niszczeniu sprzętu oraz innej własności oraz nękaniu lub wszelkim innym formom agresji wymierzonej przeciwko urzędnikom, pracownikom i gościom.

18.2. Wymagania w zakresie bezpieczeństwa

Wszystkie budynki, tereny, pomieszczenia biurowe, systemy teleinformatyczne itd., w których informacje klasyfikowane UE są przechowywane i/lub znajdują się w obiegu, podlegają ochronie przy zastosowaniu odpowiednich środków bezpieczeństwa fizycznego.

Podejmując decyzję o poziomie ochrony fizycznej należy wziąć pod uwagę wszystkie istotne czynniki, takie jak:

a) klauzula tajności informacji i/lub materiału;

b) ilość i forma utrwalenia informacji (np. wydruk, nośnik komputerowy);

c) ocena lokalnych zagrożeń wynikających z działalności służb wywiadowczych wymierzonej przeciwko UE, jej Państwom Członkowskim i/lub innym instytucjom i stronom trzecim posiadającym informacje klasyfikowane UE, mianowicie sabotażu, terroryzmu oraz działalności antypaństwowej lub innych działań o charakterze przestępczym.

Wymagane jest ustanowienie środków ochrony fizycznej w celu:

a) uniemożliwienia skrytego lub siłowego wejścia intruzów;

b) zniechęcenia, utrudnienia oraz wykrycia działań podejmowanych przez nielojalnych pracowników;

c) zapobieżenia uzyskaniu dostępu do informacji klasyfikowanych UE z naruszeniem zasady ograniczonego dostępu.

18.3. Środki bezpieczeństwa fizycznego

18.3.1. Strefy bezpieczeństwa

Miejsca, w których informacje o klauzuli CONFIDENTIEL UE lub wyższej są przechowywane lub znajdują się w obiegu, muszą być tak usytuowane i wyposażone, aby odpowiadały następującym wymaganiom:

a) strefa bezpieczeństwa klasy I: miejsce, w którym informacje o klauzuli CONFIDENTIEL UE lub wyższej są przechowywane lub znajdują się w obiegu w taki sposób, że - biorąc pod uwagę uwarunkowania praktyczne - wejście do strefy jest jednoznaczne z uzyskaniem dostępu do informacji klasyfikowanych. Strefa ta wymaga:

i) wyraźnie określonych i chronionych granic, których przekraczanie w obie strony jest kontrolowane;

ii) systemu kontroli wejść, który umożliwia wejście do strefy jedynie osobom odpowiednio sprawdzonym i wyraźnie do tego upoważnionym;

iii) określenia klauzuli tajności i kategorii informacji, które zazwyczaj znajdują się w tym obszarze, tzn. informacji, które są dostępne po wejściu do strefy;

b) strefa bezpieczeństwa klasy II: miejsce, w którym informacje o klauzuli CONFIDENTIEL UE lub wyższej są przechowywane lub znajdują się w obiegu w sposób umożliwiający ich ochronę przed uzyskaniem dostępu przez osoby nieupoważnione dzięki środkom kontroli wewnętrznej; są to np. pomieszczenia, w których informacje o klauzuli CONFIDENTIEL UE są często przechowywane lub znajdują się one w ciągłym obiegu. Strefa ta wymaga:

i) wyraźnie określonych i chronionych granic, których przekraczanie w obie strony jest kontrolowane;

ii) systemu kontroli wejść, który umożliwia wejście do strefy bez nadzoru jedynie osobom odpowiednio sprawdzonym i wyraźnie do tego upoważnionym. W stosunku do wszystkich innych osób konieczne jest zapewnienie eskorty lub równoważnych środków kontroli w celu zapobieżenia uzyskaniu nieupoważnionego dostępu do informacji klasyfikowanych UE i niekontrolowanemu wejściu do miejsc objętych kontrolą bezpieczeństwa technicznego.

Miejsca, w których nie pracuje się 24 godziny na dobę, muszą być sprawdzane bezpośrednio po zakończeniu normalnych godzin pracy w celu upewnienia się, że informacje klasyfikowane UE zostały należycie zabezpieczone.

18.3.2. Strefa administracyjna

Strefę administracyjną, charakteryzującą się niższym poziomem zabezpieczeń, można utworzyć wokół stref bezpieczeństwa klasy I lub II, bądź w prowadzącym do nich przejściu. Strefa taka wymaga wyraźnie określonych granic, w ramach których możliwe jest wprowadzenie kontroli osób i pojazdów. W strefach administracyjnych wolno przechowywać i wykorzystywać wyłącznie informacje o klauzuli RESTREINT UE i nieklasyfikowane.

18.3.3. Kontrola wejść i wyjść

Wejścia stałych pracowników do stref bezpieczeństwa klasy I lub II muszą być kontrolowane przy zastosowaniu systemu przepustek lub identyfikacji osób. Wymagane jest także ustanowienie systemu sprawdzania osób odwiedzających w celu uniemożliwienia uzyskania nieupoważnionego dostępu do informacji klasyfikowanych UE. Możliwe jest uzupełnienie systemu przepustek o rozpoznawanie za pomocą środków technicznych; rozwiązanie takie można uznać za dodatkowy element, który jednak nie może całkowicie zastąpić strażników. Zmiana w ocenie zagrożeń może pociągnąć za sobą wzmocnienie środków kontroli wejść i wyjść, np. w trakcie wizyt osób zajmujących wysokie stanowiska.

18.3.4. Patrolowanie przez strażników

Po zakończeniu normalnych godzin pracy strefy bezpieczeństwa klasy I i II powinny być patrolowane w celu ochrony zasobów UE przed narażeniem na szwank ich bezpieczeństwa, uszkodzeniem lub utratą. Częstotliwość patroli określa się w zależności od warunków lokalnych, ale zaleca się, by odbywały się one co dwie godziny.

18.3.5. Sejfy, szafy metalowe i pomieszczenia wzmocnione

Sejfy i szafy pancerne używane do przechowywania informacji klasyfikowanych UE dzielą się na trzy klasy:

- klasa A: sejfy i szafy metalowe zatwierdzone w danym kraju do przechowywania informacji o klauzuli TRES SECRET UE/EU TOP SECRET w strefie bezpieczeństwa klasy I lub II;

- klasa B: sejfy i szafy metalowe zatwierdzone w danym kraju do przechowywania informacji o klauzuli SECRET UE lub CONFIDENTIEL UE w strefie bezpieczeństwa klasy I lub II;

- klasa C: meble biurowe odpowiednie do przechowywania jedynie informacji o klauzuli RESTREINT UE.

W przypadku pomieszczeń wzmocnionych, tworzonych w obrębie strefy bezpieczeństwa klasy I lub II, oraz wszystkich stref bezpieczeństwa klasy I, w których informacje o klauzuli CONFIDENTIEL UE lub wyższej są przechowywane na odkrytych półkach lub zaznaczane na wykresach i mapach, wymagane jest, by ściany, podłogi i stropy, drzwi i zamki zostały zatwierdzone przez władzę akredytacji bezpieczeństwa (SAA); kryterium oceny stanowi zapewnienie ochrony identycznej jak zapewniana przez sejf lub szafę pancerną, dopuszczone do przechowywania informacji o tej samej klauzuli.

18.3.6. Zamki

Zamki stosowane do zamykania sejfów, szaf metalowych i pomieszczeń wzmocnionych, w których przechowywane są informacje klasyfikowane UE, muszą odpowiadać następującym wymaganiom:

- grupa A: zatwierdzone w danym kraju do stosowania w sejfach i szafach metalowych klasy A;

- grupa B: zatwierdzone w danym kraju do stosowania w sejfach i szafach metalowych klasy B;

- grupa C: odpowiednie tylko do mebli biurowych klasy C.

18.3.7. Kontrola kluczy i kodów dostępu

Klucze do sejfów i szaf metalowych nie mogą być wynoszone poza budynki Komisji. Osoby, które powinny znać kody dostępu do sejfów i szaf metalowych, muszą się ich nauczyć na pamięć. Zapasowe klucze oraz zapisane kody dostępu, które należy wykorzystywać tylko w nagłych przypadkach, muszą być przechowywane przez lokalnego pełnomocnika ochrony danego departamentu Komisji; wymagane jest umieszczenie każdego kodu dostępu w oddzielnej, nieprzezroczystej i zapieczętowanej kopercie. Klucze używane na co dzień, klucze zapasowe oraz kody dostępu należy przechowywać w oddzielnych pojemnikach. Klucze i kody wymagają równie rygorystycznej ochrony, jak informacje, do których umożliwiają dostęp.

Kody dostępu do sejfów i szaf metalowych są udostępniane jak najmniejszej liczbie osób. Wymaga się zmiany kodu:

a) przy otrzymaniu nowego sejfu lub kasy pancernej;

b) w każdym przypadku, gdy dochodzi do zmiany personelu;

c) gdy doszło do ujawnienia kodu bądź istnieje domniemanie, że mogło to nastąpić;

d) w regularnych odstępach czasu: zaleca się dokonywanie zmian co 6 miesięcy, jednak nie rzadziej niż co 12 miesięcy.

18.3.8. Urządzenia do wykrywania wtargnięcia

W przypadku gdy do ochrony informacji klasyfikowanych UE są stosowane systemy alarmowe, telewizja przemysłowa i inne urządzenia elektryczne, wymagane jest zapewnienie zasilania awaryjnego w celu zapewnienia nieprzerwanego działania systemu w razie wystąpienia przerw w dostawie energii elektrycznej z głównego źródła.

Kolejnym podstawowym wymogiem, jaki muszą spełnić tego rodzaju urządzenia, jest włączanie się alarmu lub innego skutecznego ostrzeżenia, kierowanego do osób monitorujących bezpieczeństwo strefy, gdy wystąpią zakłócenia w pracy urządzeń wykrywania wtargnięcia lub próby ingerencji w ich funkcjonowanie.

18.3.9. Zatwierdzony sprzęt

Dyrekcja ds. Bezpieczeństwa Komisji jest zobligowana do prowadzenia aktualnego wykazu sprzętu (uwzględniającego typy i modele urządzeń), który został przez nie zatwierdzony do bezpośredniej lub pośredniej ochrony informacji klasyfikowanych w różnych warunkach i okolicznościach. Wykaz tworzy się na podstawie - między innymi - informacji przekazywanych przez krajowe władze bezpieczeństwa.

18.3.10. Fizyczna ochrona urządzeń kopiujących i faksujących

Kopiarki i telefaksy należy fizycznie zabezpieczyć w sposób zapewniający, że mogą z nich skorzystać jedynie osoby upoważnione oraz że wszystkie informacje klasyfikowane UE są objęte właściwą kontrolą.

18.4. Ochrona przed podglądem i podsłuchem

18.4.1. Podgląd

Wszelkie odpowiednie środki muszą być stosowane w ciągu dnia i w nocy w celu zapewnienia, że żadna nieupoważniona osoba nie może zobaczyć, nawet przypadkowo, informacji klasyfikowanych UE.

18.4.2. Podsłuch

Pomieszczenia lub strefy, w których regularnie omawiane są kwestie objęte klauzulą SECRET UE lub wyższą, muszą być zabezpieczone przed podsłuchem pasywnym i aktywnym, jeśli ryzyko wystąpienia tego typu zagrożeń uzasadnia konieczność takich zabezpieczeń. Przeprowadzenie oceny ryzyka jest obowiązkiem Dyrekcji ds. Bezpieczeństwa Komisji, które - gdy jest to konieczne - może się skonsultować z właściwymi krajowymi władzami bezpieczeństwa.

18.4.3 Wnoszenie sprzętu elektronicznego i nagrywającego

Nie dopuszcza się wnoszenia do stref bezpieczeństwa lub stref zabezpieczonych technicznie telefonów komórkowych, prywatnych komputerów, urządzeń nagrywających, aparatów fotograficznych i innych urządzeń elektronicznych lub pozwalających na rejestrację dźwięku bez upoważnienia dyrektora Dyrekcji ds. Bezpieczeństwa Komisji.

Dyrekcja ds. Bezpieczeństwa Komisji może zwrócić się do krajowych władz bezpieczeństwa z wnioskiem o czasowe oddelegowanie ekspertów w celu określenia, jakie środki ochrony powinny zostać zastosowane w pomieszczeniach zagrożonych podsłuchem pasywnym (np. izolacja ścian, drzwi, podłóg i stropów, pomiary emanacji) i aktywnym (np. przeszukanie w celu wykrycia mikrofonów).

Podobnie, gdy wymagają tego okoliczności, dyrektor Dyrekcji ds. Bezpieczeństwa Komisji może zwrócić się do krajowych władz bezpieczeństwa z wnioskiem o przeprowadzenie specjalistycznej kontroli sprzętu teleinformatycznego oraz elektrycznego lub elektronicznego sprzętu biurowego wszelkiego rodzaju, wykorzystywanego w trakcie spotkań na poziomie SECRET UE lub wyższym.

18.5. Strefy zabezpieczone technicznie

Niektóre strefy mogą być zaprojektowane jako strefy zabezpieczone technicznie. Wejście do takiej strefy podlega szczególnej kontroli. W czasie gdy strefa nie jest użytkowana, musi być zamknięta zgodnie z zatwierdzoną instrukcją, a wszystkie klucze muszą być objęte ochroną. Strefy te podlegają regularnym kontrolom bezpieczeństwa fizycznego; kontrola taka musi być przeprowadzana po stwierdzeniu próby uzyskania nieupoważnionego dostępu lub powzięciu takiego podejrzenia.

Wymagane jest prowadzenie szczegółowego wykazu mebli i urządzeń wnoszonych i wynoszonych ze strefy zabezpieczonej technicznie w celu kontroli ich ruchu. Meble i urządzenia, które mają stanowić wyposażenie strefy, muszą uprzednio zostać dokładnie sprawdzone przez przeszkolonych pracowników ochrony, czy nie ukryto w nich urządzeń podsłuchowych. Jako zasadę przyjmuje się, że w strefie zabezpieczonej technicznie nie należy instalować linii łączności bez pozwolenia właściwej władzy.

19.

STOSOWANIE ZASADY OGRANICZONEGO DOSTĘPU I POSTĘPOWANIA SPRAWDZAJĄCE

19.1. Uwagi ogólne

Dostęp do informacji klasyfikowanych UE musi być ograniczony do osób, którym informacje te są niezbędne do wykonywania obowiązków służbowych lub zadań. Do dostępu do informacji o klauzulach TRES SECRET UE/EU TOP SECRET, SECRET UE i CONFIDENTIEL UE mogą być upoważnione wyłącznie osoby, w stosunku do których zostało przeprowadzone odpowiednie postępowanie sprawdzające.

Za określenie, do jakich informacji powinna mieć dostęp dana osoba, odpowiada departament, w którym dana osoba ma zostać zatrudniona, na podstawie zakresu jej obowiązków.

Departamenty są zobowiązane do występowania z wnioskami o przeprowadzenie postępowań sprawdzających.

Postępowanie kończy się wydaniem "certyfikatu bezpieczeństwa UE" określającego klauzulę informacji, do których dana osoba może mieć dostęp, oraz datę ważności.

Certyfikat bezpieczeństwa UE uprawniający do dostępu do informacji o wyższej klauzuli może uprawniać do dostępu do informacji oznaczonych niższą klauzulą tajności.

Osoby niebędące urzędnikami lub innymi pracownikami, jak np. zewnętrzni kontrahenci, eksperci i konsultanci, z którymi trzeba omówić informacje klasyfikowane UE lub których trzeba zapoznać z informacjami klasyfikowanymi UE, muszą uzyskać decyzję, że spełniają warunki bezpieczeństwa UE przewidziane dla dostępu do informacji klasyfikowanych i zostać poinformowane o swojej odpowiedzialności za ochronę informacji.

Kwestie publicznego dostępu do informacji są określone w rozporządzeniu (WE) nr 1049/2001.

19.2. Szczególne zasady dostępu do informacji o klauzuli TRES SECRET UE/EU TOP SECRET

Wszystkie osoby, które mają uzyskać dostęp do informacji o klauzuli TRES SECRET UE/EU TOP SECRET, muszą zostać uprzednio odpowiednio sprawdzone.

Do wyznaczenia osób, które powinny uzyskać dostęp do informacji TRES SECRET UE/EU TOP SECRET, jest uprawniony wyłącznie członek Komisji odpowiedzialny za kwestie bezpieczeństwa. Nazwiska tych osób muszą zostać umieszczone we właściwym wykazie TRES SECRET UE/EU TOP SECRET. Dyrekcja ds. Bezpieczeństwa Komisji stworzy i będzie prowadzić taki wykaz.

Każda osoba, przed uzyskaniem dostępu do informacji o klauzuli TRES SECRET UE/EU TOP SECRET, musi podpisać oświadczenie potwierdzające, że została przeszkolona na temat procedur bezpieczeństwa Komisji i że w pełni zdaje sobie sprawę ze swojej szczególnej odpowiedzialności za ochronę informacji o klauzuli TRES SECRET UE/EU TOP SECRET, oraz konsekwencji przewidzianych przepisami UE, prawem swojego państwa lub aktami administracyjnymi w przypadku dopuszczenia - w wyniku świadomego działania lub zaniedbania - do sytuacji, gdy informacje klasyfikowane dostaną się w niepowołane ręce.

W przypadku osób, które mają uzyskać dostęp do informacji o klauzuli TRES SECRET UE/EU TOP SECRET, np. w czasie spotkania, właściwy urzędnik kontroli służby lub instytucji, w której osoby te są zatrudnione, informuje organizatora spotkania, że uzyskały one odpowiednie upoważnienia.

Nazwiska osób zwolnionych z obowiązków wymagających dostępu do informacji o klauzuli TRES SECRET UE/EU TOP SECRET zostają usunięte z wykazu TRES SECRET UE/EU TOP SECRET. Ponadto osoby te informuje się, że nadal spoczywa na nich szczególna odpowiedzialność za ochronę informacji o klauzuli TRES SECRET UE/EU TOP SECRET. Są one zobowiązane do podpisania oświadczenia, że nigdy nie wykorzystają ani nie przekażą informacji o klauzuli TRES SECRET UE/EU TOP SECRET, z którymi się zapoznały.

19.3. Szczególne zasady dostępu do informacji o klauzuli SECRET UE i CONFIDENTIEL UE

Wszystkie osoby, które mają uzyskać dostęp do informacji o klauzuli SECRET UE lub CONFIDENTIEL UE, muszą zostać uprzednio odpowiednio sprawdzone.

Każda osoba, która ma uzyskać dostęp do informacji o klauzuli SECRET UE lub CONFIDENTIEL UE, musi zostać zapoznana z odpowiednimi przepisami bezpieczeństwa i być świadoma konsekwencji ich nieprzestrzegania.

W przypadku osób, które mają uzyskać dostęp do informacji o klauzuli SECRET UE lub CONFIDENTIEL UE, np. w czasie spotkania, właściwy pełnomocnik ochrony instytucji, w której osoby te są zatrudnione, informuje organizatora spotkania, że uzyskały one odpowiednie upoważnienia.

19.4. Szczególne zasady dostępu do informacji o klauzuli RESTREINT UE

Każda osoba, która ma uzyskać dostęp do informacji o klauzuli RESTREINT UE, musi zostać zapoznana z odpowiednimi przepisami bezpieczeństwa i być świadoma konsekwencji ich nieprzestrzegania.

19.5. Przekazywanie

W przypadku gdy dana osoba kończy pracę na stanowisku związanym z dostępem do materiałów klasyfikowanych UE, kancelaria tajna sprawuje nadzór nad zgodnym z przepisami przekazaniem materiałów pomiędzy odchodzącym pracownikiem a jego następcą.

Natomiast gdy członek personelu jest przenoszony na inne stanowisko, z którym wiąże się dostęp do informacji klasyfikowanych UE, właściwy lokalny pełnomocnik ochrony jest zobowiązany do przeszkolenia go.

19.6. Szkolenia

Osoby, które mają w swojej pracy wykorzystywać informacje klasyfikowane UE, powinny, w momencie podejmowania pracy, a następnie w regularnych odstępach czasu, być poinformowane o:

a) zagrożeniach dla bezpieczeństwa wynikającymi z nieostrożnych rozmów;

b) środkach ostrożności, które powinny być zachowywane przy kontaktach z dziennikarzami i przedstawicielami grup interesów;

c) zagrożeniach dla informacji i działań objętych klauzulą tajności, stwarzanych przez służby wywiadowcze, które prowadzą działalność wymierzoną przeciwko UE i jej Państwom Członkowskim;

d) ciążącym na nich obowiązku niezwłocznego zgłaszania odpowiednim władzom bezpieczeństwa wszelkich prób nawiązania kontaktu lub manewrów, które mogą wskazywać na działalność szpiegowską oraz wszelkich niezwykłych okoliczności związanych z bezpieczeństwem.

Wszystkie osoby pozostające w częstych kontaktach z przedstawicielami państw, których służby wywiadowcze prowadzą działania wymierzone przeciwko UE i jej Państwom Członkowskim i mogą powodować zagrożenia dla ochrony informacji i działań objętych klauzulą tajności, należy przeszkolić w zakresie technik pracy operacyjnej stosowanych przez różne służby.

Nie istnieją przepisy Komisji dotyczące prywatnych podróży do jakiegokolwiek kraju odbywanych przez osoby sprawdzone w związku z dostępem do informacji klasyfikowanych UE. Dyrekcja ds. Bezpieczeństwa Komisji jest jednak zobowiązana do zapoznania urzędników i innych pracowników, za których odpowiada, z regulacjami obowiązującymi w miejscu przeznaczenia.

20.

SPRAWDZENIA URZĘDNIKÓW I INNYCH PRACOWNIKÓW KOMISJI

a) Dostęp do informacji klasyfikowanych UE znajdujących się w dyspozycji Komisji mogą uzyskać wyłącznie ci urzędnicy i inni pracownicy Komisji oraz inne osoby pracujące na jej rzecz, którym są one potrzebne do wykonywania obowiązków służbowych.

b) Warunkiem uzyskania dostępu do informacji o klauzulach TRES SECRET UE/EU TOP SECRET, SECRET UE i CONFIDENTIEL UE przez osoby określone w lit. a) powyżej jest otrzymanie upoważnienia, zgodnie z procedurą określoną w lit. c) i d) niniejszego punktu.

c) Upoważnienie może być udzielone wyłącznie osobom, w stosunku do których właściwe organy krajowe Państw Członkowskich (krajowe władze bezpieczeństwa) przeprowadziły postępowania sprawdzające, zgodnie z procedurą określoną w lit. i)-n).

d) Za udzielenie upoważnienia, o którym mowa w lit. a), b) i c), jest odpowiedzialny dyrektor Dyrekcji ds. Bezpieczeństwa Komisji.

e) Upoważnienie udzielane jest po otrzymaniu opinii właściwych organów krajowych Państw Członkowskich, wydawanej na podstawie procedury sprawdzeniowej, określonej w lit. i)-n).

f) Dyrekcja ds. Bezpieczeństwa Komisji jest zobowiązana do prowadzenia aktualnego wykazu wszystkich sensytywnych stanowisk, na podstawie informacji przekazywanych przez poszczególne departamenty, oraz wszystkich osób, które uzyskały (tymczasowe) upoważnienia.

g) Upoważnienie jest wydawane na 5 lat, jednak nie może być ważne dłużej niż okres wykonywania obowiązków, w związku z którymi zostało przyznane. Może natomiast zostać przedłużone zgodnie z procedurą określoną w lit. e).

h) Dyrektor Dyrekcji ds. Bezpieczeństwa Komisji może cofnąć upoważnienie, gdy uzna, że istnieją po temu uzasadnione przesłanki. Decyzja o cofnięciu upoważnienia jest przekazywana zainteresowanej osobie, która może ubiegać się o wysłuchanie przez dyrektora Dyrekcji ds. Bezpieczeństwa Komisji, oraz właściwemu organowi krajowemu.

i) Procedura sprawdzeniowa jest przeprowadzana na wniosek dyrektora Dyrekcji ds. Bezpieczeństwa Komisji przez właściwe instytucje Państwa Członkowskiego, którego dana osoba jest obywatelem; osoba sprawdzana uczestniczy w prowadzonej w stosunku do siebie procedurze. Jeśli dana osoba nie jest obywatelem Państwa Członkowskiego Unii, dyrektor Dyrekcji ds. Bezpieczeństwa Komisji zwraca się z wnioskiem o przeprowadzenie postępowania do tego Państwa Członkowskiego UE, na którego terytorium osoba ta zamieszkuje lub często przebywa.

j) Osoba sprawdzana w ramach procedury sprawdzeniowej jest zobowiązana do wypełnienia ankiety bezpieczeństwa osobowego.

k) Dyrektor Dyrekcji ds. Bezpieczeństwa Komisji w swoim wniosku określa rodzaj i klauzulę informacji, do których dana osoba ma uzyskać dostęp, tak aby właściwe organy krajowe mogły przeprowadzić odpowiednią procedurę i wyrazić swoją opinię, czy osobę sprawdzaną można upoważnić do dostępu do określonego typu informacji.

l) Postępowanie sprawdzające, włącznie z podjęciem decyzji końcowej, jest przeprowadzane na podstawie odpowiednich przepisów danego Państwa Członkowskiego, w tym także odnoszących się do procedur odwoławczych.

m) W przypadku przekazania pozytywnej opinii przez właściwe organy krajowe dyrektor Dyrekcji ds. Bezpieczeństwa Komisji może udzielić danej osobie upoważnienia do dostępu do informacji klasyfikowanych.

n) Negatywna opinia właściwych organów krajowych jest przekazywana zainteresowanej osobie, która może ubiegać się o wysłuchanie przez dyrektora Dyrekcji ds. Bezpieczeństwa Komisji. Może on, jeśli uzna to za konieczne, zwrócić się do właściwych organów krajowych z wnioskiem o przekazanie dodatkowych wyjaśnień. W przypadku potwierdzenia opinii negatywnej nie można udzielić upoważnienia do dostępu do informacji klasyfikowanych.

o) Wszystkie osoby, które uzyskają upoważnienie w rozumieniu lit. d) i e), w momencie uzyskania upoważnienia są informowane o celach i zasadach ochrony informacji klasyfikowanych i środkach zapewniających bezpieczeństwo tych informacji; szkolenia takie są następnie powtarzane w regularnych odstępach czasu. Osoby te podpisują oświadczenie, że zostały poinstruowane i zobowiązują się do przestrzegania obowiązujących przepisów.

p) Dyrektor Dyrekcji ds. Bezpieczeństwa Komisji jest zobowiązany do podjęcia wszelkich niezbędnych działań w celu wdrożenia postanowień tego punktu, w szczególności zaś określenia zasad dostępu do wykazu osób upoważnionych.

q) W wyjątkowych przypadkach, gdy wynika to z konieczności wykonania zadań, dyrektor Dyrekcji ds. Bezpieczeństwa Komisji może udzielić tymczasowego upoważnienia, pod warunkiem że poinformował o takim zamiarze właściwe organy krajowe i w ciągu miesiąca nie zgłosiły one sprzeciwu; upoważnienie to obowiązuje do czasu zakończenia procedury określonej w lit. i), lecz nie dłużej niż 6 miesięcy.

r) Udzielone w tym trybie tymczasowe upoważnienia nie mogą uprawniać do dostępu do informacji o klauzuli TRES SECRET UE/EU TOP SECRET; dostęp do tych informacji jest obligatoryjnie ograniczony wyłącznie do urzędników, którzy przeszli postępowanie sprawdzające z pozytywnym wynikiem, zgodnie z lit. i). Do czasu zakończenia procedury sprawdzeniowej urzędnicy, w stosunku do których wystąpiono o przeprowadzenie postępowania na poziomie TRES SECRET UE/EU TOP SECRET, mogą zostać tymczasowo upoważnieni do dostępu do informacji o klauzuli do poziomu SECRET UE włącznie.

21.

SPORZĄDZANIE, DYSTRYBUCJA, PRZESYŁANIE, BEZPIECZEŃSTWO OSOBOWE KURIERÓW ORAZ DODATKOWE EGZEMPLARZE LUB TŁUMACZENIA I WYCIĄGI Z DOKUMENTÓW KLASYFIKOWANYCH UE

21.1. Sporządzanie

1. Klauzule tajności UE nadaje się zgodnie z postanowieniami sekcji 16; w przypadku dokumentów o klauzuli CONFIDENTIEL UE są one umieszczane u góry i na dole (wyśrodkowane) każdej strony. Strony muszą być ponumerowane. Każdy dokument klasyfikowany UE musi być oznaczony numerem korespondencyjnym i datą. W przypadku dokumentów o klauzuli TRES SECRET UE/EU TOP SECRET i SECRET UE wymagane jest naniesienie numeru korespondencyjnego na każdej stronie. Jeśli są one dystrybuowane w kilku egzemplarzach, każdy z nich musi mieć umieszczony na pierwszej stronie odpowiedni numer egzemplarza oraz informację o liczbie stron. Obligatoryjne jest wymienienie wszystkich załączników i dodatków na pierwszej stronie wszystkich dokumentów o klauzuli CONFIDENTIEL UE lub wyższej.

2. Dokumenty o klauzuli CONFIDENTIEL UE lub wyższej mogą być drukowane, tłumaczone, przechowywane, powielane, przegrywane lub mikrofilmowane wyłącznie przez osoby, które zostały sprawdzone w związku z dostępem do informacji klasyfikowanych UE o klauzuli tajności co najmniej równej klauzuli danego dokumentu.

3. Przepisy odnoszące się do sporządzania dokumentów klasyfikowanych przy wykorzystaniu komputerów zostały określone w sekcji 25.

21.2. Dystrybucja

1. Informacje klasyfikowane UE są udostępniane wyłącznie osobom odpowiednio sprawdzonym i zgodnie z zasadą ograniczonego dostępu. Pierwotny rozdzielnik jest określany przez wytwórcę.

2. Dokumenty o klauzuli TRES SECRET UE/EU TOP SECRET mogą być rozprowadzane wyłącznie przez kancelarie tajne TRES SECRET UE/EU TOP SECRET (por. sekcja 22.2). W przypadku wiadomości TRES SECRET UE/EU TOP SECRET przesyłanych w formie elektronicznej właściwa kancelaria tajna może upoważnić osobę kierującą centrum łączności do wykonania kopii w liczbie określonej w rozdzielniku.

3. Dokumenty o klauzuli SECRET UE i niższej mogą być przekazane przez pierwotnego odbiorcę kolejnym adresatom z zachowaniem zasady ograniczonego dostępu. Wytwórcy mają jednak prawo do wyraźnego określenia wszelkich ograniczeń dotyczących kręgu odbiorców. W przypadku gdy zostały narzucone tego typu ograniczenia, adresaci mogą przekazywać dokumenty do dalszej dystrybucji wyłącznie po uzyskaniu upoważnienia wytwórcy.

4. Wpływ i wysyłka każdego dokumentu o klauzuli CONFIDENTIEL UE lub wyższej muszą być odnotowane w lokalnej kancelarii tajnej danego departamentu. Dane, które podlegają rejestracji (numer korespondencyjny, data i - gdzie ma to zastosowanie - numer egzemplarza), muszą umożliwiać identyfikację dokumentu; są one umieszczane w dzienniku lub na chronionych nośnikach komputerowych (por. sekcja 22.1).

21.3. Przesyłanie dokumentów klasyfikowanych UE

21.3.1. Pakowanie, potwierdzanie odbioru

1. Dokumenty o klauzuli CONFIDENTIEL UE lub wyższej należy przesyłać w podwójnym, nieprzezroczystym i mocnym opakowaniu. Koperta wewnętrzna jest oznaczona właściwą klauzulą tajności UE; powinny być na niej umieszczone, w miarę możliwości, pełne dane adresata (stanowisko służbowe i adres).

2. Wyłącznie urzędnik kontroli danej kancelarii tajnej (por. sekcja 22.1), lub jego zastępca, ma prawo otworzyć wewnętrzną kopertę i potwierdzić otrzymanie znajdujących się w niej dokumentów; nie dotyczy to sytuacji, gdy koperta jest adresowana do konkretnej osoby. W takim przypadku właściwa kancelaria odnotowuje wpływ koperty, natomiast otworzyć wewnętrzną kopertę i potwierdzić otrzymanie znajdujących się w niej dokumentów może tylko osoba, do której jest ona adresowana.

3. Druk potwierdzenia jest umieszczany w wewnętrznej kopercie. Potwierdzenie, które nie może być klasyfikowane, powinno zawierać numer korespondencyjny, datę wytworzenia i numer egzemplarza dokumentu; nigdy natomiast nie wolno podawać w nim tematyki, do której odnosi się dokument.

4. Koperta wewnętrzna jest opakowana w kopertę zewnętrzną, na której podaje się numer paczki dla celów potwierdzenia odbioru. Na kopercie zewnętrznej w żadnym przypadku nie wolno umieszczać klauzuli tajności.

5. W przypadku dokumentów o klauzuli CONFIDENTIEL UE lub wyższej kurierzy i posłańcy otrzymują potwierdzenia odbioru na podstawie numerów paczek.

21.3.2. Przesyłanie w obrębie budynku lub kompleksu

W obrębie danego budynku lub kompleksu dokumenty klasyfikowane mogą być przenoszone przez osobę sprawdzoną w związku z dostępem do informacji o co najmniej równej klauzuli tajności, zapakowane w zapieczętowaną kopertę, na której umieszcza się tylko nazwisko adresata.

21.3.3. Przesyłanie w granicach danego państwa

1. Na terytorium danego państwa dokumenty o klauzuli TRES SECRET UE/EU TOP SECRET powinny być przesyłane wyłącznie za pośrednictwem oficjalnych służb kurierskich albo osób upoważnionych do dostępu o informacji o tej klauzuli.

2. W każdym przypadku, gdy do przesłania dokumentu o klauzuli TRES SECRET UE/EU TOP SECRET poza budynkiem lub kompleksem wykorzystuje się służbę kurierską, wymagane jest bezwzględne stosowanie się do przepisów dotyczących pakowania i potwierdzania odbioru dokumentów, zawartych w niniejszym rozdziale. Służba powinna być tak zorganizowana, by zapewnić, że paczki zawierające dokumenty o klauzuli TRES SECRET UE/EU TOP SECRET pozostają przez cały czas pod bezpośrednią kontrolą odpowiedzialnej osoby.

3. W wyjątkowych przypadkach dokumenty o klauzuli TRES SECRET UE/EU TOP SECRET mogą być wynoszone poza budynek lub kompleks przez osoby niebędące kurierami w celu wykorzystania w trakcie spotkania lub rozmów, pod warunkiem że:

a) osoba ta została upoważniona do dostępu do dokumentów o klauzuli TRES SECRET UE/EU TOP SECRET, które wynosi;

b) sposób ich przewozu jest zgodny z przepisami odnoszącymi się do przesyłania dokumentów o tej klauzuli;

c) osoba ta w żadnym przypadku nie pozostawia przenoszonych dokumentów bez nadzoru;

d) przyjęto rozwiązania zapewniające, że w kancelarii tajnej TRES SECRET UE/EU TOP SECRET, w której dokumenty są zarejestrowane i która sprawuje nad nimi nadzór, znajduje się wykaz przenoszonych w ten sposób dokumentów. Na jego podstawie sprawdza się kompletność dokumentów po zwróceniu ich do kancelarii.

4. Na terytorium danego państwa dokumenty o klauzuli SECRET UE i CONFIDENTIEL UE mogą być przesyłane albo za pośrednictwem poczty, jeśli jest to dopuszczane przez przepisy krajowe i z zachowaniem warunków określonych w niniejszych przepisach, albo służby kurierskiej lub osób sprawdzonych w związku z dostępem do informacji klasyfikowanych UE.

5. Dyrekcja ds. Bezpieczeństwa Komisji jest zobowiązana do przygotowania na podstawie niniejszych przepisów instrukcji dotyczących osobistego przewozu dokumentów klasyfikowanych UE. Osoba przewożąca dokumenty powinna przeczytać i podpisać odpowiednią instrukcję. W szczególności instrukcje te powinny wyraźnie precyzować, że pod żadnym pozorem osoba przewożąca nie może:

a) utracić bezpośredniej kontroli nad dokumentami, chyba że przekazała je w celu zdeponowania w bezpiecznym miejscu, zgodnie z przepisami sekcji 18;

b) pozostawić dokumentów bez nadzoru w środkach komunikacji publicznej lub pojazdach prywatnych oraz w miejscach typu restauracje czy hotele. Nie dopuszcza się pozostawiania ich w hotelowych sejfach lub pozostawiania bez nadzoru w pokojach hotelowych;

c) czytać dokumentów w miejscach publicznych, jak np. w samolocie czy pociągu.

21.3.4. Przesyłanie pomiędzy państwami

1. Materiały o klauzuli CONFIDENTIEL UE i wyższej powinny być przekazywane z jednego państwa do drugiego za pośrednictwem kurierów dyplomatycznych lub wojskowych Unii Europejskiej.

2. Dopuszczany jest jednak przewóz materiałów o klauzuli SECRET UE i CONFIDENTIEL UE w bagażu podręcznym, pod warunkiem że odnoszące się do niego przepisy zapewniają, że dokumenty nie dostaną się w niepowołane ręce.

3. Członek Komisji odpowiedzialny za kwestie bezpieczeństwa może wyrazić zgodę na przewóz w bagażu podręcznym, gdy nie jest możliwe przesłanie materiałów za pośrednictwem kurierów dyplomatycznych lub wojskowych albo gdy przewóz przez kurierów spowodowałby niekorzystne dla działań UE opóźnienie, a materiał jest pilnie potrzebny odbiorcom. Dyrekcja ds. Bezpieczeństwa Komisji jest zobowiązana do przygotowania instrukcji dotyczącej międzynarodowego przewozu w bagażu podręcznym materiałów o klauzuli do poziomu SECRET UE włącznie przez osoby niebędące kurierami dyplomatycznymi lub wojskowymi. Instrukcja określa, że:

a) osoba przewożąca uzyskała decyzję, że spełnia warunki bezpieczeństwa;

b) odpowiedni departament lub kancelaria tajna prowadzi wykaz wszystkich przewożonych w ten sposób materiałów;

c) pakiety lub worki zawierające materiały UE są opatrzone urzędową pieczęcią w celu uniknięcia lub ograniczenia kontroli celnej; umieszcza się na nich nalepkę, która służy identyfikacji przesyłki i zawiera instrukcje dla znalazcy;

d) osoba przewożąca jest wyposażona w certyfikat kuriera lub polecenie wykonania zadania, uznawane przez wszystkie Państwa Członkowskie UE, które upoważniają ją do przewozu określonej w nim przesyłki;

e) w przypadku drogi lądowej trasa nie prowadzi przez terytorium państwa nienależącego do UE ani nie łączy się z koniecznością przekroczenia granicy takiego państwa, chyba że państwo wysyłające przesyłkę uzyskało od tego państwa odpowiednie gwarancje;

f) przyjęte rozwiązania dotyczące organizacji podróży osoby przewożącej, w tym miejsca przeznaczenia, trasy przejazdu i środków transportu, muszą być zgodne z przepisami UE lub - gdy przepisy krajowe regulujące te kwestie są bardziej rygorystyczne - zgodnie z przepisami danego państwa;

g) osoba przewożąca nie może nikomu przekazać materiału, chyba że w celu zdeponowania go w bezpiecznym miejscu, zgodnie z przepisami sekcji 18;

h) osoba przewożąca nie może pozostawić dokumentów bez nadzoru w środkach komunikacji publicznej lub pojazdach prywatnych oraz w miejscach typu restauracje czy hotele. Nie dopuszcza się pozostawiania ich w hotelowych sejfach lub pozostawiania bez nadzoru w pokojach hotelowych;

i) jeśli w przewożonych materiałach znajdują się dokumenty, osoba przewożąca nie może ich czytać w miejscach publicznych (np. w samolocie czy pociągu).

4. Osoba wyznaczona do przewozu materiałów klasyfikowanych w bagażu podręcznym jest zobowiązana do zapoznania się z instrukcją bezpieczeństwa (i podpisania jej), która zawiera powyżej wymienione zasady oraz procedury postępowania w przypadku wydarzeń nadzwyczajnych lub zażądania przez służby celne albo służby bezpieczeństwa lotniska otwarcia przesyłki zawierającej materiały klasyfikowane.

21.3.5. Przesyłanie dokumentów o klauzuli RESTREINT UE

Nie ma żadnych szczególnych przepisów odnoszących się do przesyłania dokumentów o klauzuli RESTREINT UE.

Zasady ich przewozu muszą jednak zapewniać, że nie dostaną się one w niepowołane ręce.

21.4. Bezpieczeństwo osobowe kurierów

Wszyscy kurierzy i posłańcy, którzy przewożą dokumenty o klauzuli SECRET UE i EU CONFIDENTAL, muszą przejść odpowiednie postępowania sprawdzające.

21.5. Przesyłanie elektroniczne i za pośrednictwem innych środków technicznych

1. Środki bezpieczeństwa teleinformatycznego muszą być zaprojektowane w taki sposób, aby zapewniały bezpieczeństwo w trakcie przesyłania informacji klasyfikowanych UE. Szczegółowe zasady dotyczące przesyłania informacji klasyfikowanych UE w tej postaci są zawarte w sekcji 25.

2. Informacje o klauzuli CONFIDENTIEL UE i SECRET UE mogą być przesyłane wyłącznie za pośrednictwem zatwierdzonych centrów i sieci teleinformatycznych i/lub terminali i systemów.

21.6. Dodatkowe kopie, tłumaczenia i wyciągi z dokumentów klasyfikowanych UE

1. Jedynie wytwórca może wyrazić zgodę na wykonanie kopii lub tłumaczenie dokumentów o klauzuli TRES SECRET UE/EU TOP SECRET.

2. W przypadku gdy z informacją, która - mimo że zawarta w dokumencie o klauzuli TRES SECRET UE/EU TOP SECRET - nie jest objęta tą klauzulą, powinny zapoznać się osoby nieposiadające upoważnienia do dostępu do informacji o klauzuli TRES SECRET UE/EU TOP SECRET, kierownik właściwej kancelarii tajnej TRES SECRET UE/EU TOP SECRET (por. sekcja 22.2) może zostać upoważniony do wykonania niezbędnej liczby wyciągów z tego dokumentu. Jest on jednocześnie zobowiązany do podjęcia wszystkich kroków koniecznych do zapewnienia, że wyciągi te są objęte odpowiednią klauzulą tajności.

3. Adresat może wykonywać kopie i tłumaczenia z dokumentów o klauzuli SECRET UE i niższej z zachowaniem przepisów krajowych i pod warunkiem rygorystycznego stosowania zasady ograniczonego dostępu. Środki bezpieczeństwa, które odnoszą się do dokumentu oryginalnego, stosuje się także w stosunku do kopii i/lub tłumaczeń.

22.

KANCELARIE TAJNE UE, KONTROLE KOMPLEKSOWE I WYRYWKOWE, ARCHIWIZOWANIE I NISZCZENIE DOKUMENTÓW KLASYFIKOWANYCH UE

22.1. Lokalne kancelarie tajne UE

1. W ramach Komisji lokalne kancelarie tajne UE, działające w każdym departamencie (w zależności od potrzeb jedna lub kilka), są odpowiedzialne za rejestrowanie, powielanie, wysyłanie, archiwizowanie i niszczenie dokumentów o klauzuli SECRET UE i CONFIDENTIEL UE.

2. W przypadku gdy dany departament nie ma lokalnej kancelarii tajnej UE, jej funkcje na potrzeby tego departamentu wykonuje lokalna kancelaria tajna UE Sekretariatu Generalnego.

3. Lokalne kancelarie tajne podlegają dyrektorowi departamentu; zatwierdza on instrukcje ich pracy. Kierownik takiej kancelarii jest urzędnikiem kontroli kancelarii (RCO).

4. Nadzór nad przestrzeganiem przez lokalne kancelarie tajne UE przepisów dotyczących postępowania z dokumentami klasyfikowanymi UE oraz stosowania właściwych środków ochrony sprawuje lokalny pełnomocnik ochrony (LSO).

5. Urzędnicy wyznaczeni do pracy w lokalnych kancelariach tajnych UE muszą być upoważnieni do dostępu do informacji klasyfikowanych UE, zgodnie z postanowieniami sekcji 20.

6. Lokalne kancelarie UE, działając pod zwierzchnictwem właściwego dyrektora departamentu, są zobowiązane do:

a) nadzorowania czynności związanych z rejestracją, kopiowaniem, tłumaczeniem, przesyłaniem, przekazywaniem do odbiorców i niszczeniem informacji klasyfikowanych UE;

b) uaktualniania danych zawartych w wykazach informacji klasyfikowanych;

c) okresowego rozsyłania zapytań, czy wskazane jest utrzymywanie klauzuli tajności informacji.

7. Lokalne kancelarie tajne UE są zobowiązane do prowadzenia wykazu uwzględniającego następujące dane:

a) datę opracowania danej informacji klasyfikowanej;

b) klauzulę tajności;

c) datę obowiązywania klauzuli;

d) określenie autora i departamentu, w którym została opracowana dana informacja;

e) odbiorcę lub odbiorców, z numerami egzemplarzy;

f) przedmiot;

g) numer dziennika;

h) liczbę rozesłanych egzemplarzy;

i) przygotowanie spisów informacji klasyfikowanych, które zostały przekazane do departamentu;

j) odnotowywanie obniżania i znoszenia klauzuli tajności.

8. Do lokalnych kancelarii tajnych UE odnoszą się ogólne zasady, określone w sekcji 21, chyba że szczegółowe przepisy niniejszego punktu stanowią inaczej.

22.2 Kancelarie tajne TRES SECRET UE/EU TOP SECRET

22.2.1. Uwagi ogólne

1. Zadaniem kancelarii tajnych TRES SECRET UE/EU TOP SECRET jest zapewnienie, że rejestrowanie, wykonywanie czynności związanych z obiegiem i rozsyłanie dokumentów o tej klauzuli odbywa się zgodnie z niniejszymi przepisami bezpieczeństwa. Kierownik kancelarii tajnej TRES SECRET UE/EU TOP SECRET pełni funkcję urzędnika kontroli kancelarii TRES SECRET UE/EU TOP SECRET.

2. Główne kancelarie tajne pełnią funkcję podstawowego punktu przyjmującego i rozsyłającego informacje w Komisji, innych instytucjach unijnych, Państwach Członkowskich, organizacjach międzynarodowych i państwach trzecich, z którymi Komisja zawarła umowy w sprawie procedur bezpieczeństwa w odniesieniu do wymiany informacji klasyfikowanych.

3. Gdy istnieje taka potrzeba, ustanawia się podkancelarie odpowiedzialne za nadzór nad obiegiem wewnętrznym dokumentów o klauzuli TRES SECRET UE/EU TOP SECRET; ich zadaniem jest dokumentowanie obiegu wszystkich dokumentów, pozostających w gestii danej podkancelarii.

4. Podkancelarie TRES SECRET UE/EU TOP SECRET ustanawia się zgodnie z postanowieniami Sekcji 22.2.3. w przypadku zaistnienia potrzeby sprawowania stałego lub długotrwałego nadzoru nad dokumentami; podlegają one głównej kancelarii tajnej TRES SECRET UE/EU TOP SECRET. Gdy potrzeba zapoznania się z dokumentami o klauzuli TRES SECRET UE/EU TOP SECRET występuje rzadko i jest krótkotrwała, możliwe jest ich udostępnienie bez ustanawiania podkancelarii, pod warunkiem że stosowane są wszystkie wymagane środki bezpieczeństwa fizycznego i osobowego.

5. Podkancelarie nie mogą przesyłać dokumentów o klauzuli TRES SECRET UE/EU TOP SECRET bezpośrednio do innych podkancelarii podlegających tej samej głównej kancelarii tajnej TRES SECRET UE/EU TOP SECRET bez wyraźnego upoważnienia z jej strony.

6. Przekazywanie dokumentów o klauzuli TRES SECRET UE/EU TOP SECRET pomiędzy dwiema podkancelariami niepodlegającymi tej samej głównej kancelarii tajnej odbywa się za pośrednictwem nadzorujących głównych kancelarii tajnych TRES SECRET UE/EU TOP SECRET.

22.2.2. Główne kancelarie tajne TRES SECRET UE/EU TOP SECRET

Jako urzędnik kontroli kierownik głównej kancelarii tajnej TRES SECRET UE/EU TOP SECRET jest odpowiedzialny za:

a) przekazywanie dokumentów o klauzuli TRES SECRET UE/EU TOP SECRET zgodnie z postanowieniami sekcji 21.3;

b) prowadzenie wykazu wszystkich podległych podkancelarii TRES SECRET UE/EU TOP SECRET, wraz z nazwiskami i wzorami podpisów urzędników kontroli i osób upoważnionych do ich zastępowania;

c) przechowywanie otrzymanych z innych kancelarii pokwitowań za wszystkie dokumenty o klauzuli TRES SECRET UE/EU TOP SECRET przekazane przez główną kancelarię tajną;

d) prowadzenie wykazu wszystkich posiadanych i przekazanych do odbiorców dokumentów o klauzuli TRES SECRET UE/EU TOP SECRET;

e) prowadzenie aktualnego wykazu wszystkich głównych kancelarii tajnych TRES SECRET UE/EU TOP SECRET, z którymi prowadzi stałą wymianę dokumentów, wraz z nazwiskami i wzorami podpisów urzędników kontroli i osób upoważnionych do ich zastępowania;

f) fizyczne zabezpieczenie wszystkich dokumentów o klauzuli TRES SECRET UE/EU TOP SECRET, pozostających w gestii danej głównej kancelarii tajnej, zgodnie z postanowieniami sekcji 18.

22.2.3. Podkancelarie tajne TRES SECRET UE/EU TOP SECRET

Jako urzędnik kontroli, kierownik podkancelarii TRES SECRET UE/EU TOP SECRET jest odpowiedzialny za:

a) przekazywanie dokumentów o klauzuli TRES SECRET UE/EU TOP SECRET zgodnie z postanowieniami sekcji 21.3;

b) prowadzenie aktualnego wykazu wszystkich osób upoważnionych do dostępu do informacji o klauzuli TRES SECRET UE/EU TOP SECRET, które pozostają pod jego nadzorem;

c) przekazywanie dokumentów o klauzuli TRES SECRET UE/EU TOP SECRET do odbiorców zgodnie z instrukcjami wytwórcy lub na podstawie zasady ograniczonego dostępu, po uprzednim upewnieniu się, czy adresat został odpowiednio sprawdzony;

d) prowadzenie aktualnego wykazu wszystkich dokumentów o klauzuli TRES SECRET UE/EU TOP SECRET znajdujących się posiadaniu kancelarii i w obiegu pod jej nadzorem lub przekazanych do innych kancelarii TRES SECRET UE/EU TOP SECRET oraz przechowywanie wszystkich pokwitowań za udostępnione i przekazane dokumenty;

e) prowadzenie aktualnego wykazu wszystkich kancelarii tajnych TRES SECRET UE/EU TOP SECRET, z którymi może na podstawie upoważnienia prowadzić wymianę dokumentów o klauzuli TRES SECRET UE/EU TOP SECRET, wraz z nazwiskami i wzorami podpisów urzędników kontroli tych kancelarii i osób upoważnionych do ich zastępowania;

f) fizyczne zabezpieczenie wszystkich dokumentów o klauzuli TRES SECRET UE/EU TOP SECRET pozostających w gestii danej podkancelarii, zgodnie z postanowieniami sekcji 18.

22.3. Przeglądy, kontrole kompleksowe i wyrywkowe

1. Każda kancelaria tajna TRES SECRET UE/EU TOP SECRET, o której mowa w niniejszym punkcie, jest zobowiązana do przeprowadzania raz na 12 miesięcy szczegółowego spisu dokumentów o klauzuli TRES SECRET UE/EU TOP SECRET. Uznaje się, że dokument został rozliczony, jeśli stwierdzono, w wyniku bezpośredniego oglądu, że jest on przechowywany w kancelarii lub też jego przekazanie do innej kancelarii tajnej TRES SECRET UE/EU TOP SECRET jest udokumentowane pokwitowaniem, zniszczenie - protokołem zniszczenia, a obniżenie lub zniesienie klauzuli - odpowiednią decyzją. Kancelarie tajne TRES SECRET UE/EU TOP SECRET przekazują wyniki corocznego przeglądu członkowi Komisji odpowiedzialnemu za sprawy bezpieczeństwa najpóźniej do dnia 1 kwietnia każdego roku.

2. Podkancelarie TRES SECRET UE/EU TOP SECRET są zobowiązane do przekazania wyników corocznego przeglądu do Głównej Kancelarii Tajnej, której podlegają, w terminie przez nią określonym.

3. Informacje klasyfikowane UE o klauzuli niższej niż TRES SECRET UE/EU TOP SECRET podlegają wewnętrznym wyrywkowym kontrolom zgodnie z instrukcjami członka Komisji odpowiedzialnego za kwestie bezpieczeństwa.

4. Działania te stwarzają możliwość określenia:

a) dokumentów, których klauzula może być obniżona lub zdjęta;

b) dokumentów, które mogą zostać zniszczone.

22.4. Archiwizowanie informacji klasyfikowanych UE

1. Informacje klasyfikowane UE muszą być przechowywane w warunkach spełniających wymagania określone w punkcie 18.

2. W celu zminimalizowania problemów związanych z przechowywaniem urzędnicy kontroli wszystkich kancelarii tajnych są upoważnieni do mikrofilmowania dokumentów TRES SECRET UE/EU TOP SECRET, SECRET UE i CONFIDENTIEL UE lub też do archiwizowania ich na nośnikach magnetycznych albo optycznych, pod warunkiem że:

a) czynności związane z mikrofilmowaniem/przeniesieniem na inne nośniki są wykonywane przez pracowników posiadających aktualną decyzję o spełnianiu warunków bezpieczeństwa do dostępu do informacji o danej klauzuli tajności;

b) mikrofilmom/nośnikom został zapewniony identyczny stopień ochrony, jak dokumentom oryginalnym;

c) fakt mikrofilmowania/przeniesienia na inne nośniki dokumentu o klauzuli TRES SECRET UE/EU TOP SECRET został zgłoszony wytwórcy;

d) rolki filmu lub inne nośniki zawierają wyłącznie dokumenty objęte jedną z klauzul: TRES SECRET UE/EU TOP SECRET, SECRET UE lub CONFIDENTIEL UE;

e) fakt mikrofilmowania/przeniesienia na inny nośnik dokumentu o klauzuli TRES SECRET UE/EU TOP SECRET lub SECRET UE jest wyraźnie odnotowany w wykazie/dzienniku wykorzystywanym przy przeprowadzaniu corocznego spisu dokumentów;

f) po mikrofilmowaniu lub przeniesieniu na inny nośnik oryginalne dokumenty zostały zniszczone, zgodnie z przepisami określonymi w sekcji 22.5.

3. Powyższe zasady odnoszą się także do innych, dopuszczonych przez odpowiednie władze, form przechowywania dokumentów, jak np. na nośnikach elektromagnetycznych lub dyskach optycznych.

22.5. Niszczenie dokumentów klasyfikowanych UE

1. Aby zapobiec przechowywaniu nadmiernych ilości dokumentów klasyfikowanych UE, należy niszczyć jak najszybciej te informacje, które kierownik dysponującej nimi instytucji uznał za nieaktualne lub też przechowywane w zbyt dużej liczbie egzemplarzy. Niszczenie powinno odbywać się zgodnie z poniższymi zasadami:

a) dokumenty o klauzuli TRES SECRET UE/EU TOP SECRET mogą być niszczone wyłącznie w głównej kancelarii tajnej, pod której nadzorem pozostają. Każdy zniszczony dokument musi być odnotowany w protokole zniszczenia, który podpisuje urzędnik kontroli TRES SECRET UE/EU TOP SECRET i urzędnik będący świadkiem niszczenia; urzędnik ten musi być sprawdzony w związku z dostępem do informacji o tej klauzuli. Fakt zniszczenia dokumentu musi być odnotowany w odpowiednim dzienniku;

b) kancelaria tajna przechowuje przez 10 lat protokoły zniszczenia, razem z kartami zapoznania z dokumentem. Kopie protokołów są przekazywane wytwórcy lub właściwej głównej kancelarii tajnej tylko na wyraźne życzenie;

c) dokumenty o klauzuli TRES SECRET UE/EU TOP SECRET, w tym także zbędne materiały powstałe w toku wytwarzania dokumentów o tej klauzuli, jak np. uszkodzone kopie, szkice robocze, notatki maszynowe, dyskietki komputerowe, muszą być zniszczone - pod nadzorem urzędnika kontroli TRES SECRET UE/EU TOP SECRET - przez spalenie, przetworzenie na miazgę, pocięcie w niszczarce lub w inny sposób zapewniający, że staną się one nierozpoznawalne i niemożliwe do odtworzenia.

2. Dokumenty o klauzuli SECRET UE są niszczone w kancelarii, która sprawuje nad nimi nadzór, pod kontrolą odpowiednio sprawdzonej osoby, na jeden ze sposobów określonych w ust. 1 lit. c). Wykaz zniszczonych dokumentów o tej klauzuli musi zostać umieszczony w podpisanym protokole zniszczenia, który jest co najmniej przez 3 lata przechowywany przez daną kancelarię razem z kartami zapoznania z dokumentem.

3. Dokumenty o klauzuli CONFIDENTIEL UE są niszczone w kancelarii, która sprawuje nad nimi nadzór, pod kontrolą odpowiednio sprawdzonej osoby, na jeden ze sposobów określonych w ust. 1 lit. c). Fakt zniszczenia jest dokumentowany zgodnie z instrukcjami członka Komisji odpowiedzialnego za kwestie bezpieczeństwa.

4. Dokumenty o klauzuli UE RESTRICTED są niszczone w kancelarii, która sprawuje nad nimi nadzór, lub osobę, która z nich korzystała, zgodnie z instrukcjami członka Komisji odpowiedzialnego za kwestie bezpieczeństwa.

22.6. Niszczenie w sytuacjach nadzwyczajnych

1. Poszczególne departamenty Komisji są zobowiązane do opracowania dostosowanych do lokalnych uwarunkowań planów ochrony materiałów klasyfikowanych UE w sytuacjach kryzysowych, uwzględniających możliwość - w przypadku konieczności podjęcia takich działań - zniszczenia lub ewakuacji materiałów klasyfikowanych. W ramach każdej struktury należy podać do ogólnej wiadomości instrukcje postępowania uznane za konieczne, by zapobiec dostaniu się informacji klasyfikowanych UE w niepowołane ręce.

2. Ochrona i/lub niszczenie materiałów o klauzuli SECRET UE i CONFIDENTIEL UE w sytuacji kryzysowej nie może w żadnym przypadku utrudniać lub zakłócać ochrony lub niszczenia materiałów o klauzuli TRES SECRET UE/EU TOP SECRET, w tym urządzeń szyfrujących, których ochrona ma pierwszeństwo w stosunku do wszelkich innych działań.

3. Środki ochrony i niszczenia urządzeń szyfrujących w sytuacjach kryzysowych zostaną określone w instrukcjach postępowania przyjmowanych w każdym konkretnym przypadku.

4. Instrukcje muszą być przechowywane w miejscu niszczenia w zapieczętowanej kopercie. Należy zapewnić dostępność środków/narzędzi niszczenia.

23.

ŚRODKI BEZPIECZEŃSTWA STOSOWANE W TRAKCIE SPOTKAŃ ODBYWAJĄCYCH SIĘ POZA SIEDZIBĄ KOMISJI, W TOKU KTÓRYCH WYKORZYSTYWANE SĄ INFORMACJE KLASYFIKOWANE UE

23.1. Uwagi ogólne

1. Opisane poniżej środki bezpieczeństwa należy stosować w przypadku, gdy posiedzenie Komisji lub też inne mające istotne znaczenie spotkanie jest organizowane poza budynkami Komisji i gdy ich użycie jest uzasadnione szczególną sensytywnością omawianych kwestii lub wykorzystywanych informacji. Środki te odnoszą się jedynie do ochrony informacji klasyfikowanych UE; nie można wykluczyć, że wystąpi konieczność zaplanowania innych środków ochrony.

23.2. Zakresy odpowiedzialności

23.2.1. Dyrekcja ds. Bezpieczeństwa Komisji

Dyrekcja ds. Bezpieczeństwa Komisji jest zobowiązana do współpracy z właściwymi organami Państwa Członkowskiego, na którego terytorium odbywa się spotkanie (państwa przyjmującego), w celu zapewnienia bezpieczeństwa posiedzenia Komisji lub innego ważnego spotkania oraz bezpieczeństwa przewodniczących delegacji i ich personelu.

W odniesieniu do bezpieczeństwa powinno ono w szczególności zapewnić:

a) przygotowanie planów postępowania na wypadek wystąpienia zagrożeń dla ochrony informacji, ze szczególnym uwzględnieniem środków mających na celu ochronę informacji klasyfikowanych UE znajdujących się w pomieszczeniach biurowych;

b) możliwość dostępu do systemu teleinformatycznego Komisji pozwalającego na odbieranie i wysyłanie wiadomości klasyfikowanych UE. Jeśli istnieje taka potrzeba, należy zwrócić się do państwa przyjmującego z wnioskiem o zapewnienie dostępu do zabezpieczonych linii telefonicznych.

Dyrekcja ds. Bezpieczeństwa Komisji powinna doradzać w kwestiach bezpieczeństwa związanych z przygotowaniami do spotkania; powinna być także reprezentowana na miejscu, by w miarę potrzeb doradzać i pomagać pełnomocnikowi ochrony spotkania i delegacjom.

Każda delegacja uczestnicząca w spotkaniu powinna wyznaczyć osobę odpowiedzialną za bezpieczeństwo (pełnomocnik ochrony delegacji), do której obowiązków będzie należało zajmowanie się kwestiami bezpieczeństwa w ramach delegacji oraz utrzymywanie kontaktów z pełnomocnikiem ochrony spotkania, a także, w miarę potrzeb, z przedstawicielem Dyrekcji ds. Bezpieczeństwa Komisji.

23.2.2. Pełnomocnik ochrony spotkania

Należy wyznaczyć pełnomocnika ochrony, który odpowiada za przygotowanie i nadzór nad całością wewnętrznych środków ochrony oraz współpracę z innymi właściwymi władzami bezpieczeństwa. Podjęte środki powinny obejmować:

a) środki ochrony w miejscu, gdzie odbywa się spotkanie, w celu zapewnienia, że jego przebieg nie zostanie zakłócony żadnymi incydentami, które mogłyby narazić na szwank bezpieczeństwo wykorzystywanych w jego toku informacji klasyfikowanych UE;

b) sprawdzanie pracowników, którzy uzyskali prawo dostępu do miejsca spotkania, stref przeznaczonych dla poszczególnych delegacji oraz sal konferencyjnych, a także sprawdzanie sprzętu;

c) stałą współpracę z właściwymi organami państwa przyjmującego oraz Dyrekcją ds. Bezpieczeństwa Komisji;

d) włączenie do materiałów dotyczących spotkania instrukcji na temat bezpieczeństwa, uwzględniających wymogi określone w niniejszych przepisach oraz wszelkich innych instrukcji odnoszących się do bezpieczeństwa, jakie zostaną uznane za konieczne.

23.3. Środki ochrony

23.3.1. Strefy bezpieczeństwa

Należy utworzyć opisane poniżej strefy bezpieczeństwa:

a) strefę bezpieczeństwa klasy II obejmującą pomieszczenia, w których opracowywane będą projekty i kolejne wersje dokumentów, pomieszczenia biurowe Komisji i sprzęt powielający, a także, gdy ma to zastosowanie, pomieszczenia biurowe delegacji;

b) strefę bezpieczeństwa klasy I obejmującą sale konferencyjne, a także pomieszczenia tłumaczy i inżynierów dźwięku;

c) strefy administracyjne obejmujące strefę dostępną dla dziennikarzy oraz części obiektu, w którym odbywa się konferencja, wykorzystywane do prac administracyjnych, serwowania posiłków oraz zakwaterowania, a także strefę bezpośrednio przylegającą do centrum prasowego i miejsca, w którym odbywa się spotkanie.

23.3.2. Przepustki

Pełnomocnik ochrony spotkania powinien wydawać odpowiednie identyfikatory zgodnie z potrzebami zgłoszonymi przez delegacje. Gdzie jest to wymagane, można wprowadzić zróżnicowanie prawa dostępu do poszczególnych stref bezpieczeństwa.

Instrukcja bezpieczeństwa spotkania powinna zobowiązywać wszystkich uczestników, by przez cały czas przebywania w miejscu spotkania nosili identyfikatory w widocznym miejscu, tak by mogły być sprawdzane przez służby ochrony.

Do miejsca spotkania powinno się wpuszczać możliwie jak najmniej osób, które nie są uczestnikami spotkania i nie noszą identyfikatorów. Wyłącznie pełnomocnik ochrony spotkania może wyrazić - na wniosek delegacji krajowych - zgodę na przyjmowanie przez nie gości. Osobom tym zostaną wydane przepustki dla gości; w tym celu muszą one wypełnić formularz wydania przepustki, podając swoje imię i nazwisko oraz imię i nazwisko osoby zapraszającej.

Goście powinni być cały czas eskortowani przez strażnika lub zapraszającego. Osoba towarzysząca powinna mieć formularz wydania przepustki; oddaje go służbom ochrony, wraz z przepustką, po opuszczeniu przez gościa miejsca spotkania.

23.3.3. Kontrola sprzętu fotograficznego i nagrywającego

Do strefy bezpieczeństwa klasy I nie można wnosić żadnego sprzętu fotograficznego ani nagrywającego, poza sprzętem przyniesionym przez fotografów i inżynierów dźwięku odpowiednio upoważnionych przez pełnomocnika ochrony spotkania.

23.3.4. Kontrola teczek, przenośnych komputerów i pakietów

Noszący identyfikatory uczestnicy, którzy mają prawo dostępu do strefy bezpieczeństwa, w normalnych warunkach mogą wnosić swoje teczki i przenośne komputery (wyłącznie z własnym źródłem zasilania) bez sprawdzeń. Delegacje mogą dostarczać na miejsce spotkania przeznaczone do własnego użytku pakiety, przy czym muszą być one albo sprawdzone przez pełnomocnika ochrony delegacji, albo prześwietlone za pomocą specjalistycznego sprzętu lub też otwarte w celu skontrolowania ich zawartości przez służby ochrony. Jeśli pełnomocnik ochrony spotkania uzna to za konieczne, można przyjąć bardziej rygorystyczne zasady kontroli teczek i pakietów.

23.3.5. Bezpieczeństwo techniczne

Pomieszczenie, w którym odbywa się spotkanie, może zostać zabezpieczone technicznie przez grupę bezpieczeństwa technicznego; może ona także prowadzić elektroniczny nadzór spotkania.

23.3.6. Dokumenty należące do delegacji

Delegacje odpowiadają za dostarczanie dokumentów klasyfikowanych UE na spotkania i zabieranie ich po zakończeniu. Ich obowiązkiem jest także sprawdzenie i zapewnienie bezpieczeństwa tych dokumentów w czasie, gdy pracują z nimi w przydzielonych im pomieszczeniach. Mogą występować z wnioskiem o udzielenie przez państwo przyjmujące pomocy w zakresie transportu dokumentów klasyfikowanych do i z miejsca spotkania.

23.3.7. Bezpieczne przechowywanie dokumentów

Jeśli Komisja lub delegacje nie mają możliwości przechowywania znajdujących się w ich gestii dokumentów klasyfikowanych UE zgodnie z obowiązującymi standardami, mogą umieścić te dokumenty w zapieczętowanej kopercie i zostawić je za pokwitowaniem u pełnomocnika ochrony spotkania, który przechowa je w sposób zgodny z przepisami bezpieczeństwa.

23.3.8. Kontrole pomieszczeń

Pełnomocnik ochrony spotkania jest zobowiązany do zapewnienia, że pomieszczenia biurowe Komisji oraz delegacji zostaną na koniec każdego dnia pracy dokładnie sprawdzone w celu upewnienia się, że wszystkie dokumenty klasyfikowane UE są przechowywane w bezpiecznym miejscu. W przypadku stwierdzenia nieprawidłowości podejmuje właściwe kroki.

23.3.9. Niszczenie zbędnych wydruków zawierających informacje klasyfikowane UE

Wszystkie zbędne wydruki powinny być traktowane jak dokumenty klasyfikowane UE. Przedstawiciele Komisji i delegacje powinny zostać wyposażone w specjalne kosze lub worki, do których można je wyrzucać. Przed opuszczeniem pomieszczeń, które zostały im przydzielone, Komisja i delegacje powinny oddać swoje zbędne wydruki pełnomocnikowi ochrony spotkania, która zapewni ich zniszczenie zgodnie z obowiązującymi przepisami.

Po zakończeniu spotkania wszystkie nieprzydatne już dokumenty znajdujące się w dyspozycji Komisji lub delegacji należy traktować jako zbędne wydruki. Przed zniesieniem środków bezpieczeństwa należy przeprowadzić dokładne przeszukanie pomieszczeń, które były przydzielone Komisji i delegacjom. Dokumenty, których odbiór został pokwitowany, powinny - w miarę możliwości - zostać zniszczone zgodnie z postanowieniami sekcji 22.5.

24.

NIEPRZESTRZEGANIE PRZEPISÓW BEZPIECZEŃSTWA I NARAŻENIE NA SZWANK BEZPIECZEŃSTWA INFORMACJI KLASYFIKOWANYCH UE

24.1. Definicje

Nieprzestrzeganie przepisów bezpieczeństwa jest wynikiem działania lub zaniechania sprzecznego z przepisami Komisji, które może narazić na szwank bezpieczeństwo informacji klasyfikowanych UE.

Narażenie na szwank bezpieczeństwa informacji klasyfikowanych UE ma miejsce, gdy informacje te w całości lub częściowo dostały się w ręce osób nieupoważnionych, tzn. takich, które nie zostały odpowiednio sprawdzone albo zapoznanie się z daną informacją nie jest im potrzebne do wykonywania obowiązków służbowych, lub też gdy istnieje uzasadnione podejrzenie, że doszło do takiej sytuacji.

Bezpieczeństwo informacji klasyfikowanych UE może zostać narażone na szwank wskutek braku ostrożności, zaniedbania lub niedyskrecji, a także w wyniku działań służb, które dążą do uzyskania pozostających w gestii UE albo Państw Członkowskich informacji klasyfikowanych UE lub rozpoznania przedsięwzięć objętych klauzulą tajności, lub też działań organizacji antypaństwowych.

24.2. Zgłaszanie przypadków nieprzestrzegania przepisów bezpieczeństwa

Wszystkie osoby korzystające z informacji klasyfikowanych UE muszą zostać dokładnie zapoznane ze swoimi obowiązkami w tym zakresie. Są zobowiązane do bezzwłocznego zgłaszania wszelkich przypadków nieprzestrzegania przepisów bezpieczeństwa, o których się dowiedziały.

W przypadku ustalenia lub uzyskania informacji o naruszeniu przepisów bezpieczeństwa, utracie lub zaginięciu informacji klasyfikowanej UE, lokalny pełnomocnik ochrony lub pełnomocnik ochrony spotkania są zobligowani do niezwłocznego podjęcia działań w celu:

a) zabezpieczenia dowodów;

b) ustalenia faktów;

c) dokonania oceny i zminimalizowania powstałych szkód;

d) podjęcia środków uniemożliwiających powtórzenie się takiej sytuacji w przyszłości;

e) poinformowania właściwych władz o skutkach nieprzestrzegania przepisów bezpieczeństwa.

W zawiadomieniu o przypadku nieprzestrzegania przepisów bezpieczeństwa wymagane jest podanie następujących informacji:

i) opis informacji, których sprawa dotyczy, w tym ich klauzula, numer dziennika i egzemplarza, data, określenie wytwórcy, przedmiot i zakres;

ii) zwięzły opis okoliczności, w których doszło do nieprzestrzegania przepisów bezpieczeństwa, w tym podanie daty i określenie czasu, przez jaki bezpieczeństwo informacji było narażone na szwank;

iii) oświadczenie, czy poinformowano wytwórcę.

Każda władza bezpieczeństwa jest zobowiązana, gdy tylko zostanie poinformowana o przypadku nieprzestrzegania przepisów bezpieczeństwa, do natychmiastowego jego zgłoszenia do Dyrekcji ds. Bezpieczeństwa Komisji.

Przypadki dotyczące informacji o klauzuli RESTREINT UE podlegają zgłaszaniu tylko wtedy, gdy towarzyszyły im niezwykłe okoliczności.

Po uzyskaniu informacji o przypadku nieprzestrzegania przepisów bezpieczeństwa, członek Komisji odpowiedzialny za kwestie bezpieczeństwa jest zobowiązany do podjęcia następujących działań:

a) powiadamia wytwórcę danej informacji;

b) występuje do właściwych władz bezpieczeństwa z wnioskiem o przeprowadzenie odpowiedniego postępowania;

c) koordynuje prowadzenie postępowań wyjaśniających, gdy sprawa pozostaje we właściwości więcej niż jednej władzy bezpieczeństwa;

d) otrzymuje raport dotyczący okoliczności przypadku nieprzestrzegania przepisów bezpieczeństwa; daty lub okresu, kiedy mogło do tego dojść i kiedy fakt ten został stwierdzony; ze szczegółowym opisem zawartości i klauzuli tajności materiału, którego sprawa dotyczy. Wymagane jest także uwzględnienie oceny szkód wyrządzonych interesom UE lub też jednemu albo większej grupie Państw Członkowskich oraz informacji, jakie podjęto działania w celu zapobieżenia możliwości powtórzenia się takiej sytuacji w przyszłości.

Wytwórca informuje o zdarzeniu adresatów i przekazuje im odpowiednie instrukcje postępowania.

24.3. Odpowiedzialność prawna

Każda osoba, która doprowadziła do narażenia na szwank bezpieczeństwa informacji klasyfikowanych UE, podlega postępowaniu dyscyplinarnemu określonemu w odpowiednich przepisach, w szczególności w tytule VI regulaminu pracowniczego. Działania takie nie stanowią przeszkody dla wszelkich innych działań podjętych na podstawie przepisów prawa.

Gdy jest to uzasadnione, na podstawie raportu, o którym mowa w sekcji 24.2, członek Komisji odpowiedzialny za kwestie bezpieczeństwa jest zobowiązany do podjęcia wszelkich kroków w celu umożliwienia właściwym organom krajowym wszczęcia postępowania karnego.

25.

OCHRONA INFORMACJI KLASYFIKOWANYCH UE PRZETWARZANYCH W SYSTEMACH TELEINFORMATYCZNYCH

25.1. Wprowadzenie

25.1.1. Uwagi ogólne

Niniejsza polityka bezpieczeństwa i wymogi odnoszą się do wszystkich systemów i sieci teleinformatycznych (dalej określanych jako systemy), w których przetwarzane są informacje o klauzuli CONFIDENTIEL UE lub wyższej. Są one przeznaczone do stosowania jako uzupełnienie decyzji Komisji C (95) 1510 z dnia 23 listopada 1995 r. w sprawie ochrony systemów informatycznych.

Systemy, w których przetwarzane są informacje o klauzuli RESTREINT UE, także wymagają zastosowania środków bezpieczeństwa w celu ochrony poufności tych informacji. Wszystkie systemy wymagają zastosowania środków bezpieczeństwa w celu ochrony integralności i dostępności zarówno samych systemów, jak i znajdujących się w nich informacji.

Na politykę w zakresie bezpieczeństwa teleinformatycznego realizowaną przez Komisję składają się następujące elementy:

- Stanowi ona integralną część całego systemu bezpieczeństwa i uzupełnia wszystkie elementy bezpieczeństwa obiegu informacji, osobowego i fizycznego;

- Podział obowiązków pomiędzy technicznych właścicieli systemów, właścicieli informacji klasyfikowanych przechowywanych lub przetwarzanych w systemach technicznych, specjalistów w zakresie bezpieczeństwa teleinformatycznego oraz użytkowników;

- Opis zasad bezpieczeństwa oraz wymogów dla każdego systemu teleinformatycznego;

- Uzyskanie akceptacji tych zasad i wymogów przez wyznaczone organy;

- Uwzględnienie specyficznych zagrożeń i słabych punktów w strefie IT.

25.1.2. Zagrożenia i słabe punkty systemów

Zagrożenie można zdefiniować jako możliwość przypadkowego lub celowego narażenia na szwank bezpieczeństwa.

W odniesieniu do systemów narażenie na szwank oznacza utratę poufności, integralności lub dostępności. Słaby punkt można zdefiniować jako niedostateczną kontrolę lub jej brak, co może ułatwić lub umożliwić stworzenie zagrożenia dla konkretnych zasobów lub celów.

Klasyfikowane i nieklasyfikowane informacje UE przetwarzane w systemach w sposób zintegrowany i w postaci gotowej do szybkiego przeszukiwania, przekazywania i wykorzystania, są podatne na wiele zagrożeń. Zagrożenia te mogą polegać na uzyskaniu dostępu do informacji przez osoby nieupoważnione lub, przeciwnie, uniemożliwieniu dostępu osobom upoważnionym. Ponadto gromadzone w ten sposób informacje są narażone na nieupoważnione ujawnienie, zniekształcenie treści, wprowadzenie zmian lub zniszczenie. Co więcej, sprzęt komputerowy, złożony i czasami podatny na uszkodzenia, jest kosztowny i często trudno go szybko naprawić lub wymienić.

25.1.3. Cel stosowania środków ochrony

Środki ochrony omawiane w poniższej sekcji mają przede wszystkim na celu zabezpieczenie przed nieupoważnionym ujawnieniem informacji (utratą poufności) oraz przed utratą ich integralności i dostępności. Aby zapewnić odpowiednią ochronę systemów, w których przetwarzane są informacje klasyfikowane UE, konieczne jest określenie przez Dyrekcję ds. Bezpieczeństwa Komisji właściwych standardów bezpieczeństwa ogólnego oraz szczególnych procedur i rozwiązań technicznych, przeznaczonych dla danego systemu.

25.1.4. Szczególne wymagania bezpieczeństwa systemu (SWBS)

Właściciel systemów technicznych (TSO; por. sekcja 25.3.4) oraz właściciel informacji (por. sekcja 25.3.5) są zobowiązani do opracowania dla każdego systemu, w którym przetwarzane są informacje o klauzuli CONFIDENTIEL UE i wyższej, szczególnych wymagań bezpieczeństwa systemu (SWBS) we współpracy - w zależności od potrzeb, w formie czynnego udziału lub doradztwa - z zespołem, który zaprojektował system oraz pracownikami Dyrekcji ds. Bezpieczeństwa Komisji (jako władzy bezpieczeństwa teleinformatycznego INFOSEC; por. sekcja 25.3.3). SWBS podlega następnie zatwierdzeniu przez władze akredytacji bezpieczeństwa (SAA; por. sekcja 25.3.2).

Wymagane jest opracowanie SWBS także w przypadku, gdy w ocenie SAA istotne znaczenie ma zapewnienie dostępności i integralności informacji o klauzuli RESTREINT UE lub nieklasyfikowanych.

SWBS należy sformułować w początkowej fazie projektowania systemu, a następnie uzupełniać i udoskonalać w miarę rozwoju prac nad projektem, w ten sposób zapewniając wypełnianie różnych funkcji na różnych etapach realizacji projektu, a następnie w kolejnych okresach funkcjonowania systemu.

25.1.5. Tryby bezpiecznego funkcjonowania

Wszystkie systemy, w których przetwarzane są informacje o klauzuli CONFIDENTIEL UE i wyższej, podlegają zatwierdzeniu jako funkcjonujące w jednym lub - gdy uzasadniają to zmienne wymagania w różnych okresach - w kilku z następujących trybów bezpiecznego funkcjonowania (możliwe jest też zastosowanie krajowych odpowiedników):

a) ogólnosystemowy;

b) ogólnosystemowy zróżnicowany;

c) wielopoziomowy.

25.2. Definicje

"Akredytacja" (dopuszczanie do eksploatacji) oznacza udzielenie zezwolenia i zatwierdzenie systemu jako zdolnego do przetwarzania informacji klasyfikowanych UE w danym środowisku pracy.

Uwaga:

Akredytacji należy dokonywać po wdrożeniu odpowiednich procedur bezpieczeństwa i osiągnięciu satysfakcjonującego poziomu ochrony zasobów systemu. Podstawą akredytacji są zazwyczaj SWBS. Akredytacja systemu powinna zawierać:

a) określenie celu akredytacji; w szczególności określenie klauzuli tajności informacji, które będą przetwarzane w systemie, oraz trybu bezpiecznego funkcjonowania, jaki jest proponowany dla danego systemu lub sieci;

b) przeprowadzenie przeglądu danych na temat zarządzania ryzykiem w celu identyfikacji zagrożeń i słabych punktów oraz ustalenia środków przeciwdziałania;

c) operacyjne procedury bezpieczeństwa (SecOP) wraz ze szczegółowym opisem proponowanych funkcji (tzn. trybów i usług, które mają być dostarczane użytkownikom); muszą także uwzględniać opis zastosowanych w systemie zabezpieczeń, gdyż stanowi to podstawę akredytacji;

d) plan wdrożenia zabezpieczeń i nadzoru nad ich prawidłowym funkcjonowaniem;

e) plan pierwotnego i okresowego testowania bezpieczeństwa funkcjonowania systemu lub sieci, ewaluacji i certyfikacji;

f) certyfikację, gdy istnieje taka potrzeba, wraz z innymi elementami akredytacji.

"Główny inspektor bezpieczeństwa teleinformatycznego" (CISO) oznacza urzędnika w centralnej służbie IT, który koordynuje stosowanie środków bezpieczeństwa w scentralizowanych systemach i nadzoruje ich funkcjonowanie.

"Certyfikacja" oznacza wydanie, na podstawie niezależnego przeglądu przebiegu i wyników ewaluacji, formalnej oceny stopnia, w jakim dany system spełnia wymagania bezpieczeństwa, lub w jaki urządzenie ochraniające komputer faktycznie zapewnia deklarowany poziom bezpieczeństwa.

"Bezpieczeństwo łączności" (COMSEC) oznacza stosowanie w systemach i sieciach teleinformatycznych środków ochrony w celu uniemożliwienia osobom nieupoważnionym uzyskania dostępu do istotnych informacji, które można uzyskać na podstawie wejścia w posiadanie i zbadanie urządzeń i zastosowanych rozwiązań, jak również w celu uwierzytelnienia przekazu w ramach tych systemów i sieci.

Uwaga:

Środki te obejmują bezpieczeństwo kryptograficzne, przesyłania i emisji, jak również bezpieczeństwo proceduralne, obiegu dokumentów, fizyczne, osobowe i komputerów.

"Bezpieczeństwo komputerów" (COMPUSEC) oznacza stosowanie w systemie komputerowym sprzętu, oprzyrządowania i oprogramowania w celu ochrony przed nieupoważnionym ujawnieniem informacji, wykonywaniem na nich operacji, wprowadzaniem zmian lub niszczeniem, a także ochrony przed uniemożliwieniem korzystania z urządzenia lub programu.

"Urządzenia ochraniające komputer" są to urządzenia komputerowe lub elementy komputerów, które można włączyć do systemu teleinformatycznego w celu zapewnienia lub podniesienia poziomu ochrony poufności, integralności i dostępności przetwarzanych informacji.

"Ogólnosystemowy tryb bezpiecznego funkcjonowania" oznacza tryb pracy, w którym WSZYSTKIE osoby, które mają dostęp do systemu, są sprawdzone do najwyższej klauzuli przetwarzanych w nim informacji, a ich obowiązki służbowe wiążą się z koniecznością zapoznawania się ze WSZYSTKIMI informacjami znajdującymi się w systemie.

Uwagi:

1) Ze względu na fakt, że wszystkie osoby korzystające z prawa dostępu do systemu powinny mieć możliwość zapoznawania się ze wszystkimi informacjami, nie ma potrzeby stosowania środków, które pozwalałyby na oddzielanie od siebie poszczególnych kategorii informacji w ramach systemu.

2) Inne formy zabezpieczenia (np. fizyczne, osobowe i proceduralne) muszą być zgodne z wymogami odnoszącymi się do najwyższej klauzuli oraz dodatkowych oznaczeń informacji, które znajdują się w systemie.

"Ewaluacja" oznacza przeprowadzenie przez właściwe organy szczegółowego technicznego badania rozwiązań w zakresie bezpieczeństwa, zastosowanych w systemie lub też produkcie kryptograficznym, albo urządzeniu ochraniającym komputer.

Uwagi:

1) Celem ewaluacji jest sprawdzenie, czy zostały zastosowane wymagane zabezpieczenia, czy nie powodują one negatywnych skutków ubocznych, istotnych dla bezpieczeństwa, i czy są odporne na próby nieuprawnionej ingerencji.

2) Ewaluacja określa zakres, w jakim zostały spełnione wymagania bezpieczeństwa systemu, deklarowane bezpieczeństwo urządzenia ochraniającego komputer, i określa poziom pewności zaufanych funkcji systemu, środków kryptograficznych i urządzeń ochraniających komputer.

"Właściciel informacji" (IO) oznacza organ (dyrektora departamentu), z którym wiąże się odpowiedzialność za wytwarzanie, przetwarzanie i wykorzystanie informacji, w tym podejmowanie decyzji o udzielaniu pracownikom prawa dostępu do tych informacji.

"Bezpieczeństwo teleinformatyczne" INFOSEC oznacza stosowanie środków bezpieczeństwa w celu ochrony informacji przetwarzanych, przechowywanych lub przesyłanych w systemach teleinformatycznych lub innych elektronicznych przed utratą poufności, integralności lub dostępności, wynikającą z przypadku lub celowego działania, oraz zapobieganie utracie integralności lub dostępności samych systemów.

"Środki INFOSEC" obejmują środki ochrony komputerów, przesyłania, emisji oraz środki bezpieczeństwa kryptograficznego, a także wykrywanie, dokumentowanie i przeciwdziałanie zagrożeniom dla informacji i systemów.

"Strefa IT" oznacza strefę, w której znajduje się jeden lub więcej komputerów, ich lokalne urządzenia peryferyjne i służące do przechowywania danych, jednostki sterowania oraz sprzęt przeznaczony do obsługi sieci i łączności.

Uwaga:

Pojęcie to nie obejmuje wydzielonej strefy, w której znajdują się odległe urządzenia peryferyjne lub terminale/stacje robocze, nawet jeśli są one połączone z urządzeniami znajdującymi się w strefie IT.

"Sieć teleinformatyczna" oznacza zorganizowany zespół rozproszonych geograficznie systemów teleinformatycznych, połączonych ze sobą w celu wymiany danych, obejmujący elementy połączonych systemów oraz ich złącza, wraz z danymi pomocniczymi lub sieciami łączności.

Uwagi:

1) Sieć teleinformatyczna może wykorzystywać jedną lub kilka sieci łączności, połączonych ze sobą w celu wymiany danych; kilka sieci teleinformatycznych może wykorzystywać jedną wspólną sieć łączności.

2) Sieć teleinformatyczną określa się jako "lokalną", gdy łączy ona kilka komputerów znajdujących się w tym samym obiekcie.

"Zabezpieczenia sieci teleinformatycznej" obejmują zarówno zabezpieczenia poszczególnych systemów teleinformatycznych wchodzących w skład sieci, jak i dodatkowe elementy i zabezpieczenia chroniące samą sieć (jak np. łączność w ramach sieci, uwierzytelnianie oraz mechanizmy i procedury identyfikacji zawartości zbiorów, kontrola dostępu, programy i metody rejestracji zmian), konieczne do zapewnienia możliwego do akceptacji poziomu ochrony informacji klasyfikowanych.

"System teleinformatyczny" oznacza zbiór obejmujący sprzęt, metody i procedury oraz - gdy jest to konieczne - personel, który ma za zadanie wykonywanie funkcji związanych z przetwarzaniem informacji.

Uwagi:

1) Pojęcie to odnosi się do zbioru urządzeń skonfigurowanych w celu przetwarzania informacji w ramach systemu.

2) Systemy tego rodzaju mogą być wykorzystywane przy konsultacjach, dowodzeniu, kontroli lub łączności, a także mieć zastosowanie w pracy naukowej i administracyjnej, włączając przetwarzanie tekstu.

3) Granice systemu muszą być wyraźnie określone jako elementy pozostające pod kontrolą jednego właściciela systemów technicznych (TSO).

4) W skład systemu teleinformatycznego mogą wchodzić podsystemy, które same mogą być systemami teleinformatycznymi.

"Zabezpieczenia systemu teleinformatycznego" oznaczają wszelkie funkcje, właściwości i cechy sprzętu, oprogramowania firmowego i użytkowego; procedury operacyjne, rozliczania oraz kontroli dostępu; strefę IT, odległe terminale i stacje robocze, a także środki kontroli zarządzania, fizyczną strukturę i urządzenia, personel i zarządzanie systemem łączności, konieczne w celu zapewnienia możliwego do zaakceptowania poziomu ochrony informacji klasyfikowanych, które mają być przetwarzane w danym systemie teleinformatycznym.

"Lokalny inspektor bezpieczeństwa teleinformatycznego" (LISO) oznacza urzędnika departamentu Komisji, który jest odpowiedzialny za koordynację stosowania środków bezpieczeństwa w ramach swoich właściwości i nadzór nad ich funkcjonowaniem.

"Wielopoziomowy tryb bezpiecznego funkcjonowania" oznacza tryb, w którym NIE WSZYSTKIE osoby, które mają dostęp do systemu, są sprawdzone do najwyższej klauzuli przetwarzanych w nim informacji i NIE WSZYSTKIM zapoznanie się z całością informacji znajdujących się w systemie jest potrzebne do wykonywania obowiązków służbowych.

Uwagi:

1) Ten tryb funkcjonowania pozwala na jednoczesne przetwarzanie informacji o różnych klauzulach tajności i zróżnicowanych oznaczeniach dodatkowych.

2) Ze względu na fakt, że nie wszystkie osoby korzystające z prawa dostępu do systemu są sprawdzone do najwyższej klauzuli informacji przetwarzanych w systemie oraz nie wszystkie powinny mieć możliwość zapoznawania się ze wszystkimi informacjami, istnieje potrzeba zastosowania środków pozwalających na częściowe udostępnianie zasobów systemu oraz oddzielenie od siebie poszczególnych kategorii informacji w ramach tego systemu.

"Strefa odległych terminali/stacji roboczych" oznacza strefę, w której znajdują się pewne urządzenia komputerowe, ich lokalne urządzenia peryferyjne lub terminale/stacje robocze oraz środki łączności i przekazu znajdujące się poza strefą IT.

"Operacyjne procedury bezpieczeństwa" określają przygotowane przez właściciela systemów technicznych (TSO) zasady odnoszące się do bezpieczeństwa, procedury działania, których należy przestrzegać, oraz zakresy obowiązków pracowników.

"Ogólnosystemowy zróżnicowany tryb bezpiecznego funkcjonowania" oznacza tryb, w którym WSZYSTKIE osoby, które mają dostęp do systemu, są sprawdzone do najwyższej klauzuli przetwarzanych w nim informacji, ale NIE WSZYSTKIM zapoznanie się z całością informacji znajdujących się w systemie jest potrzebne do wykonywania obowiązków służbowych.

Uwagi:

1) Ze względu na fakt, że nie wszystkie osoby korzystające z prawa dostępu do systemu powinny mieć możliwość zapoznawania się ze wszystkimi informacjami, istnieje potrzeba zastosowania środków pozwalających na częściowe udostępnianie zasobów systemu oraz oddzielenie od siebie poszczególnych kategorii informacji w ramach tego systemu.

2) Inne formy zabezpieczenia (np. fizyczne, osobowe i proceduralne) muszą być zgodne z wymogami odnoszącymi się do najwyższej klauzuli oraz dodatkowych oznaczeń informacji, które znajdują się w systemie.

3) Wszystkie informacje przetwarzane lub dostępne w systemie, funkcjonującym w tym trybie, łącznie z produktami (opracowaniami) wytworzonymi na ich podstawie, muszą być - aż do czasu ustalenia innych zasad - chronione zgodnie z wymaganiami odnoszącymi się do najwyższej klauzuli informacji oraz oznaczeń dodatkowych informacji przetwarzanych w systemie, chyba że istnieje możliwy do zaakceptowania poziom zaufania, które można pokładać w dowolnej istniejącej funkcji identyfikującej zawartość zbiorów.

"Szczególne wymagania bezpieczeństwa systemu" (SWBS) stanowią pełne i jednoznaczne określenie zasad bezpieczeństwa, które muszą być przestrzegane, oraz szczegółowych wymagań w zakresie bezpieczeństwa, którym należy sprostać. SWBS opierają się na polityce bezpieczeństwa Komisji oraz ocenie stopnia ryzyka lub też są zdeterminowane przez parametry odnoszące się do środowiska funkcjonowania, najniższego poziomu sprawdzenia pracowników, najwyższej klauzuli informacji, trybu bezpiecznego funkcjonowania albo wymagań użytkowników.

SWBS stanowią integralną część dokumentacji projektu, przestawianej właściwym organom w celu uzyskania akceptacji dla proponowanych rozwiązań technicznych, budżetowych i związanych z bezpieczeństwem. W swojej ostatecznej formie, SWBS stanowi wyczerpującą definicję zabezpieczonego systemu.

"Właściciel systemów technicznych" (TSO) oznacza organ odpowiedzialny za stworzenie, utrzymanie, funkcjonowanie i zakończenie działania systemu.

"Środki przeciwdziałania TEMPEST" są to środki bezpieczeństwa przeznaczone do ochrony sprzętu i infrastruktury łączności przed narażeniem na szwank bezpieczeństwa informacji klasyfikowanych poprzez niezamierzoną emisję elektromagnetyczną i poprzez przewodnictwo.

25.3. Zakresy odpowiedzialności

25.3.1. Uwagi ogólne

Zakres uprawnień doradczych Grupy Doradczej Komisji do spraw Polityki Bezpieczeństwa, określonej w sekcji 12, obejmuje także kwestie INFOSEC. Grupa Doradcza jest zobowiązana do takiego zorganizowania swojej działalności, by mogła udzielać profesjonalnych rad na ten temat.

Dyrekcja ds. Bezpieczeństwa Komisji odpowiada za wydanie - na podstawie regulacji zawartych w niniejszym rozdziale - szczegółowych przepisów dotyczących kwestii INFOSEC. W przypadku stwierdzenia problemów związanych z bezpieczeństwem (incydenty, nieprzestrzeganie przepisów itd.), Dyrekcja ds. Bezpieczeństwa Komisji jest zobowiązana do natychmiastowego podjęcia działań.

W skład Dyrekcji ds. Bezpieczeństwa Komisji wchodzi wydział INFOSEC.

25.3.2. Władza akredytacji bezpieczeństwa

Funkcje władzy akredytacji bezpieczeństwa (SAA) na potrzeby Komisji pełni dyrektor Dyrekcji ds. Bezpieczeństwa Komisji. Władza akredytacji bezpieczeństwa odpowiada za ogólne bezpieczeństwo oraz za wyspecjalizowane sfery INFOSEC, bezpieczeństwa przekazu, bezpieczeństwo kryptograficzne i bezpieczeństwo TEMPEST.

Władza akredytacji bezpieczeństwa odpowiada za zapewnienie, że systemy spełniają wymaganie określone w polityce bezpieczeństwa Komisji. Jednym z wykonywanych przez nie zadań jest wydawanie zgody na przetwarzanie przez dany system informacji o określonej klauzuli tajności w jego środowisku pracy.

Pod jurysdykcją władzy akredytacji bezpieczeństwa Komisji pozostają wszystkie systemy, które działają w pomieszczeniach należących do Komisji. W przypadku gdy różne części składowe systemu znajdują się jednocześnie pod jurysdykcją władzy akredytacji bezpieczeństwa Komisji i innych władz akredytacji bezpieczeństwa, wszystkie strony - pod przewodnictwem władzy akredytacji bezpieczeństwa Komisji - powołują wspólny zespół do spraw akredytacji.

25.3.3. Władza bezpieczeństwa teleinformatycznego (INFOSEC)

Dyrektor wydziału INFOSEC Dyrekcji ds. Bezpieczeństwa Komisji pełni funkcję władzy bezpieczeństwa teleinformatycznego; oznacza to, że odpowiada za:

- udzielanie rad technicznych i pomocy władzy akredytacji bezpieczeństwa,

- udzielanie pomocy przy opracowywaniu SWBS,

- dokonywanie przeglądów SWBS w celu zapewnienia, że są one zgodne z niniejszymi przepisami bezpieczeństwa a także polityką w zakresie INFOSEC i podstawowymi dokumentami regulującymi te kwestie,

- udział, w miarę potrzeb, w pracach rad/zespołów do spraw akredytacji, oraz przekazywanie władzy akredytacji bezpieczeństwa rekomendacji w odniesieniu do INFOSEC,

- udzielanie pomocy przy organizacji szkoleń i innych działań mających na celu zapoznawanie z problematyką INFOSEC,

- udzielanie porad technicznych w toku prowadzenia postępowań wyjaśniających związanych z incydentami w sferze INFOSEC,

- ustalenie ogólnych zaleceń technicznych w celu zapewnienia, że użytkowane jest jedynie zatwierdzone oprogramowanie.

25.3.4. Właściciel systemów technicznych (TSO)

Odpowiedzialność za wdrożenie i funkcjonowanie kontroli i specjalnych zabezpieczeń spoczywa na właścicielu danego systemu, właścicielu systemów technicznych (TSO). W przypadku systemów scentralizowanych obligatoryjne jest wyznaczenie głównego inspektora bezpieczeństwa teleinformatycznego (CISO). Każdy departament, w miarę potrzeb, wyznacza lokalnego inspektora bezpieczeństwa teleinformatycznego (LISO). Odpowiedzialność technicznego właściciela systemu obejmuje cały cykl życiowy tego systemu, od etapu tworzenia projektu aż do ostatecznego wycofania go z użycia; do jego obowiązków należy także opracowanie operacyjnych procedur bezpieczeństwa (SecOP).

TSO jest zobowiązany do określenia standardów bezpieczeństwa i wymogów, które muszą być spełnione przez dostawcę systemu.

TSO, gdzie jest to uzasadnione, może przekazać część swoich uprawnień lokalnemu inspektorowi bezpieczeństwa teleinformatycznego. Różne funkcje w ramach INFOSEC mogą być wypełniane przez jedną osobę.

25.3.5. Właściciel informacji (IO)

Właściciel informacji (IO) odpowiada za informacje klasyfikowane UE (i inne informacje), które mają być wprowadzone, przetwarzane i wytwarzane w systemach technicznych. Jest zobowiązany do określenia wymagań w zakresie dostępu do informacji w systemach. W ramach swoich właściwości może delegować te obowiązki na osobę zarządzającą informacjami lub bazą danych.

25.3.6. Użytkownicy

Wszyscy użytkownicy są zobowiązani do zapewnienia, że ich działania nie stworzą zagrożenia dla bezpieczeństwa systemu, z którego korzystają.

25.3.7. Szkolenie w zakresie INFOSEC

Szkolenie i informacje na temat INFOSEC muszą być dostępne dla wszystkich pracowników, którym są one potrzebne.

25.4. Nietechniczne środki ochrony

25.4.1. Bezpieczeństwo osobowe

Użytkownicy systemu muszą być odpowiednio sprawdzeni, a zakres udostępnianych im informacji przetwarzanych w ramach danego systemu, zarówno pod względem klauzuli tajności, jak i ich zawartości, powinien być dostosowany do zakresu ich obowiązków służbowych. Dostęp do niektórych urządzeń lub informacji istotnych dla bezpieczeństwa systemu wymaga uzyskania przeprowadzenia specjalnej procedury sprawdzeniowej, realizowanej zgodnie z procedurami przyjętymi przez Komisję.

Władza bezpieczeństwa akredytacji jest zobowiązana do określenia stanowisk wymagających dodatkowych sprawdzeń personelu, poziomu tych sprawdzeń oraz zasad nadzoru nad osobami zajmującymi te stanowiska.

Systemy są zaprojektowane i skonstruowane w sposób ułatwiający określenie uprawnień i obowiązków poszczególnych pracowników, tak by nie dopuścić do powstania sytuacji, gdy jedna osoba posiada kompletną wiedzę lub kontrolę nad kluczowymi elementami systemu bezpieczeństwa.

W strefach IT oraz odległych terminali/stacji roboczych, w których istnieje możliwość wprowadzenia zmian w systemie ochrony systemu, nie może pracować tylko jedna upoważniona osoba/inny urzędnik.

Do wprowadzenia zmian w ochronie systemu lub sieci konieczna musi być współpraca dwóch lub większej liczby osób.

25.4.2. Bezpieczeństwo fizyczne

Strefy IT oraz odległych terminali/stacji roboczych (określone w sekcji 25.2), w których wykorzystuje się środki INFOSEC do przetwarzania informacji o klauzuli CONFIDENTIEL UE i wyższej lub w których możliwe jest uzyskanie dostępu do takich informacji, muszą odpowiadać wymaganiom określonym dla stref bezpieczeństwa UE klasy I lub II.

25.4.3. Kontrola dostępu do systemu

Wszystkie informacje i materiały umożliwiające zarządzanie dostępem do danego systemu podlegają ochronie przewidzianej dla najwyższej klauzuli i oznaczenia specjalnego informacji, do których mogą umożliwić dostęp.

Informacje i materiały związane z kontrolą dostępu, gdy nie są już wykorzystywane, podlegają zniszczeniu w sposób określony w sekcji 25.5.4.

25.5. Techniczne środki ochrony

25.5.1. Bezpieczeństwo informacji

Na wytwórcy informacji ciąży obowiązek określenia i nadania klauzuli wszystkim dokumentom zawierającym informacje klasyfikowane, niezależnie od tego, czy mają one formę wydruku, czy też znajdują się na nośnikach komputerowych. Na każdej stronie wydruku, na dole i u góry, musi być naniesiona klauzula tajności. Ostateczne opracowanie, zarówno w postaci wydruku, jak i pliku komputerowego, musi być oznaczone klauzulą odpowiadającą najwyższej klauzuli informacji wykorzystanej przy jego tworzeniu. Również sposób funkcjonowania systemu może mieć wpływ na określanie klauzuli produktów, które zostały w nim wytworzone.

Na departamentach Komisji i osobach korzystających z jej informacji ciąży obowiązek rozważenia kwestii agregacji informacji oraz problemów, jakie mogą wyniknąć z połączenia poszczególnych elementów, i określenia na tej podstawie, czy cały zbiór informacji należy objąć wyższą klauzulą tajności.

Fakt, że informacja może mieć postać krótkotrwałego kodu, kodu transmisyjnego lub też jakąkolwiek inną formę binarną, nie zapewnia żadnej ochrony i z tego względu nie powinien być brany pod uwagę przy ustalaniu klauzuli tajności tej informacji.

Informacja musi być chroniona w czasie przekazywania pomiędzy systemami oraz w systemie, do którego została przesłana, w sposób odpowiadający jej klauzuli tajności i kategorii.

Ze wszystkimi komputerowymi nośnikami danych należy postępować w sposób odpowiadający najwyższej klauzuli informacji na nich przechowywanej lub zapisem identyfikującym nośnik; muszą być one objęte stałą ochroną na odpowiednim poziomie.

Komputerowe nośniki danych wielokrotnego użytku, wykorzystywane do zapisywania informacji klasyfikowanych UE, muszą zachować klauzulę tajności zgodną z najwyższą klauzulą informacji, jaka się na nich kiedykolwiek znajdowała, do czasu, aż klauzula ta zostanie obniżona lub zniesiona zgodnie z obowiązującymi procedurami i w konsekwencji zostanie zmieniona klauzula nośnika danych; klauzula nośnika może być także zmieniona lub sam nośnik zniszczony zgodnie z procedurami zatwierdzonymi przez władzę akredytacji bezpieczeństwa (por. sekcja 25.5.4).

25.5.2. Kontrola i rozliczanie z odpowiedzialności za informacje

W odniesieniu do informacji o klauzuli SECRET UE lub wyższej wymagane jest zachowanie prowadzonego automatycznie (rejestrowanie zmian) lub ręcznie zapisu uzyskiwania dostępu, które tworzą rejestr przypadków zapoznania się z daną informacją. Zapisy te należy przechowywać zgodnie z niniejszymi przepisami bezpieczeństwa.

Klasyfikowane dane UE powstałe w wyniku operacji teleinformatycznych, znajdujące się w ramach strefy IT, mogą być traktowane jako jeden przedmiot objęty klauzulą tajności i nie muszą być rejestrowane, pod warunkiem że materiał ten jest wyraźnie określony, oznaczony klauzulą tajności i w odpowiedni sposób kontrolowany.

Wymagane jest ustanowienie, zatwierdzonych przez władzę akredytacji bezpieczeństwa, procedur sprawowania kontroli nad danymi, które zostały wytworzone w systemie przetwarzającym informacje klasyfikowane UE i przesłane ze strefy IT do strefy odległych terminali/stacji roboczych. W przypadku informacji o klauzuli SECRET UE i wyższej procedury takie obejmują szczegółowe instrukcje rozliczania się z odpowiedzialności za informacje.

25.5.3. Zasady postępowania z wyjmowalnymi komputerowymi nośnikami danych i kontrola nad nimi

Wszystkie wyjmowalne komputerowe nośniki danych o klauzuli CONFIDENTIEL UE i wyższej należy traktować jak materiały; zastosowanie mają tu ogólne zasady. Odpowiednie oznaczenie i klauzule muszą być nanoszone w sposób uwzględniający specyfikę danego nośnika, jednak pozwalający na ich jednoznaczną identyfikację jako materiału klasyfikowanego.

Użytkownicy są odpowiedzialni za zapewnienie, że informacje klasyfikowane UE są przechowywane na nośnikach oznaczonych klauzulami i odpowiednio chronionych. Wymagane jest ustanowienie procedur w celu zapewnienia, że sposób przechowywania informacji poszczególnych klauzul na nośnikach komputerowych jest zgodny z niniejszymi przepisami bezpieczeństwa.

25.5.4. Znoszenie klauzuli i niszczenie komputerowych nośników danych

Klauzula komputerowych nośników danych, wykorzystywanych do zapisywania informacji klasyfikowanych UE, może być obniżona lub zniesiona pod warunkiem zastosowania procedur zatwierdzonych przez władzę akredytacji bezpieczeństwa.

Nie dopuszcza się obniżenia klauzuli i ponownego wykorzystania komputerowych nośników danych, na których znajdowały się informacje o klauzuli TRES SECRET UE/EU TOP SECRET lub kategorii specjalnych.

W przypadku gdy nie ma możliwości obniżenia klauzuli komputerowych nośników danych lub też nie nadają się one do ponownego wykorzystania, podlegają zniszczeniu z zastosowaniem wymienionych powyżej procedur.

25.5.5. Bezpieczeństwo łączności

Dyrektor Dyrekcji ds. Bezpieczeństwa Komisji pełni funkcję władzy CRYPTO.

W przypadku gdy informacje klasyfikowane UE są przesyłane elektromagnetycznie, wymagane jest zastosowanie specjalnych środków w celu ochrony poufności, integralności i dostępności takiego przekazu. Władza akredytacji bezpieczeństwa jest zobowiązana do określenia wymogów ochrony przekazu przed wykryciem i przechwyceniem. Informacje przesyłane w systemach łączności muszą być chronione zgodnie z wymaganiami odnoszącymi się do poufności, integralności i dostępności.

W przypadku gdy w celu ochrony poufności, integralności i dostępności wymagane jest zastosowanie metod kryptograficznych, metody te oraz związane z nimi produkty muszą zostać zatwierdzone do użycia przez właściwą władzę akredytacji bezpieczeństwa jako władzę CRYPTO.

W toku przesyłania poufność informacji o klauzuli SECRET UE i wyższej musi być chroniona przy użyciu metod i produktów kryptograficznych zatwierdzonych przez członka Komisji odpowiedzialnego za kwestie bezpieczeństwa po zasięgnięciu opinii Grupy Doradczej Komisji do spraw Polityki Bezpieczeństwa. Poufność przesyłanych informacji o klauzuli CONFIDENTIEL UE lub RESTREINT UE musi być chroniona przy użyciu metod i produktów kryptograficznych zatwierdzonych przez władzę CRYPTO Komisji po zasięgnięciu opinii Grupy Doradczej Komisji do spraw Polityki Bezpieczeństwa.

Szczegółowe zasady dotyczące przesyłania informacji klasyfikowanych UE zostaną określone w odnoszących się do tej kwestii instrukcjach bezpieczeństwa zatwierdzonych przez Dyrekcję ds. Bezpieczeństwa Komisji po zasięgnięciu opinii Grupy Doradczej Komisji do spraw Polityki Bezpieczeństwa.

W wyjątkowych okolicznościach informacje o klauzulach RESTREINT UE, CONFIDENTIEL UE i SECRET UE mogą być przesyłane w formie niezaszyfrowanej, pod warunkiem uzyskania upoważnienia właściciela informacji (IO) i odpowiedniego zarejestrowania. Przez wyjątkowe okoliczności rozumie się:

a) narastanie lub występowanie kryzysu, konfliktu lub sytuacji wojennej; oraz

b) przypadki, gdy decydujące znaczenie ma szybkość przekazania informacji a środki kryptograficzne nie są dostępne i uznano, że przesyłana informacja nie może być wykorzystana wystarczająco szybko, by przeszkodzić w przeprowadzanych działaniach.

Każdy system musi być wyposażony w funkcję uniemożliwienia - gdy wymaga tego sytuacja - dostępu do informacji klasyfikowanych UE w każdej lub wszystkich odległych stacjach roboczych lub terminalach albo przez fizyczne rozłączenie, albo przez zastosowanie specjalnego oprogramowania zatwierdzonego przez władzę akredytacji bezpieczeństwa.

25.5.6. Bezpieczeństwo instalacji i ochrona przed radiacją

Pierwotna instalacja systemów, a następnie dokonywanie w nich jakichkolwiek poważniejszych zmian, musi być tak przygotowana, aby prace były prowadzone przez odpowiednio sprawdzonych pracowników firmy instalującej i pod stałym nadzorem personelu o kwalifikacjach technicznych, dopuszczonego do dostępu do informacji klasyfikowanych UE na poziomie odpowiadającym najwyższej klauzuli informacji, które mają być przechowywane i przetwarzane w systemie.

Systemy, w których są przetwarzane informacje o klauzuli CONFIDENTIEL UE i wyższej, muszą być objęte ochroną zapewniającą, że ich bezpieczeństwu nie zagraża niezamierzona emisja; badania nad emisją i kontrola nad nią są określane terminem "TEMPEST".

Środki przeciwdziałania TEMPEST muszą być poddane badaniu i zatwierdzone przez władze TEMPEST (por. sekcja 25.3.2).

25.6. Bezpieczeństwo przetwarzania informacji

25.6.1. Operacyjne procedury bezpieczeństwa

Operacyjne procedury bezpieczeństwa (SecOP) określają zasady, które należy przyjąć w odniesieniu do bezpieczeństwa, procedury działania, których należy przestrzegać, oraz zakresy obowiązków pracowników. Przygotowanie SecOP pozostaje w gestii właściciela systemów technicznych (TSO).

25.6.2. Ochrona oprogramowania/zarządzanie konfiguracją

Ochrona bezpieczeństwa stosowanych programów powinna być określona raczej na podstawie oceny, jaka klauzula tajności przysługuje samemu programowi, niż na podstawie klauzuli tajności informacji, do których przetwarzania program ten ma służyć. Używane wersje oprogramowania powinny być systematycznie weryfikowane w celu zapewnienia ich integralności i prawidłowego funkcjonowania.

Nie należy wykorzystywać do przetwarzania informacji klasyfikowanych UE nowych lub zmodyfikowanych wersji oprogramowania, dopóki nie zostaną one zweryfikowane przez TSO.

25.6.3. Wykrywanie wirusów komputerowych

Wymagane jest okresowe przeprowadzanie sprawdzenia w celu wykrycia obecności wirusów komputerowych.

Wszystkie komputerowe nośniki danych, które są przekazywane do Komisji, przed wprowadzeniem do systemu powinny zostać sprawdzone w celu wykrycia obecności wirusów komputerowych.

25.6.4. Usługi serwisowe

W przypadku systemów, dla których opracowano SWBS, umowy i przyjęte procedury okresowych i doraźnych usług serwisowych muszą precyzować wymagania i obowiązujące zasady odnoszące się do pracowników wykonujących usługi i sprzętu wnoszonego przez nich do strefy IT.

Wymogi muszą być jasno określone w SWBS, a procedury - w operacyjnych procedurach bezpieczeństwa. Wykonywanie usług wymagających zastosowania zdalnych procedur diagnostycznych może być dopuszczone jedynie w nadzwyczajnych okolicznościach i pod warunkiem uzyskania akceptacji władzy akredytacji bezpieczeństwa.

25.7. Zakup sprzętu i oprogramowania

25.7.1. Uwagi ogólne

Każdy produkt bezpieczeństwa, który ma być zastosowany w systemie, musi być albo poddany ewaluacji i certyfikowany, albo znajdować się w toku ewaluacji i certyfikacji prowadzonej przez właściwą instytucję do spraw ewaluacji i certyfikacji któregoś z Państw Członkowskich UE na podstawie powszechnie uznawanych kryteriów (takich jak Wspólne kryteria ewaluacji bezpieczeństwa technologii informatycznych, ISO 15 408). Szczególne procedury muszą uzyskać akceptację Komitetu Doradczego do spraw Zakupów i Kontraktów (ACPC).

Przy podejmowaniu decyzji, czy sprzęt, a w szczególności komputerowe nośniki danych, należy zakupić czy też wziąć w leasing, należy uwzględnić, iż po wykorzystaniu danego produktu do przetwarzania lub przechowywania informacji klasyfikowanych UE nie można go udostępniać poza odpowiednio zabezpieczonym środowiskiem bez uprzedniego zniesienia klauzuli przeprowadzonego za zgodą właściwej władzy akredytacji bezpieczeństwa, a wydanie takiej zgody nie zawsze jest możliwe.

25.7.2. Akredytacja (dopuszczenie do eksploatacji)

Wszystkie systemy, dla których opracowano SWBS, zanim rozpocznie się przetwarzanie w nich informacji klasyfikowanych UE, muszą zostać dopuszczone do eksploatacji przez władzę akredytacji bezpieczeństwa, która podejmuje decyzję na podstawie informacji zawartych w SWBS, operacyjnych procedur bezpieczeństwa i innej dokumentacji systemu. Podsystemy oraz odległe terminale/stacje robocze podlegają akredytacji jako część systemu, z którym są połączone. W przypadku gdy system jest wykorzystywany jednocześnie przez Komisję i inne instytucje, Komisja i właściwe władze bezpieczeństwa muszą wspólnie wyrazić zgodę na akredytację.

Proces dopuszczania do eksploatacji może być prowadzony zgodnie ze strategią akredytacji właściwą dla danego systemu, określoną przez władzę akredytacji bezpieczeństwa.

25.7.3. Ewaluacja i certyfikacja

W niektórych przypadkach akredytację systemu musi poprzedzać ewaluacja i certyfikacja zabezpieczeń sprzętu, oprogramowania firmowego i użytkowego; celem jest sprawdzenie, czy zapewniają one ochronę informacji w sposób odpowiadający ich przewidywanej klauzuli tajności.

Wymagania dotyczące ewaluacji i certyfikacji muszą być uwzględnione przy planowaniu systemu i wyraźnie określone w SWBS.

Czynności związane z ewaluacją i certyfikacją są prowadzone przez osoby pracujące na rzecz TSO, które posiadają kwalifikacje techniczne i zostały odpowiednio sprawdzone, zgodnie z zatwierdzonymi wytycznymi.

Zespoły przeprowadzające czynności związane z ewaluacją i certyfikacją mogą być kierowane przez wyznaczoną władzę do spraw ewaluacji lub certyfikacji Państwa Członkowskiego lub jej wyznaczonych przedstawicieli, np. kompetentne i odpowiednio sprawdzone przedsiębiorstwo.

W przypadku gdy system jest stworzony w oparciu o poddane już w danym państwie ewaluacji i certyfikacji urządzenia ochraniające komputer, dopuszczane jest ograniczenie zakresu ewaluacji i certyfikacji (np. uwzględnienie tylko aspektów integracji).

25.7.4. Rutynowa kontrola środków zabezpieczających w celu utrzymania akredytacji

TSO jest zobowiązany do ustanowienia procedur rutynowej kontroli, które pozwolą na potwierdzenie, że wszystkie zabezpieczenia systemu nadal spełniają obowiązujące wymagania.

SWBS musi wyraźnie określać, jakiego typu zmiany będą powodować konieczność ponownej akredytacji lub też uzyskania uprzedniej akceptacji władzy bezpieczeństwa akredytacji. Po wprowadzeniu jakiejkolwiek modyfikacji, naprawie lub awarii, które mogły mieć wpływ na zabezpieczenia systemu, TSO ma obowiązek przeprowadzenia kontroli celem sprawdzenia, czy środki zabezpieczenia funkcjonują w prawidłowy sposób. Przeprowadzenie z wynikiem pozytywnym wymaganych sprawdzeń stanowi warunek zachowania przez system akredytacji.

Władza bezpieczeństwa akredytacji jest zobowiązana do przeprowadzania okresowych kontroli lub przeglądów wszystkich systemów, w których zastosowano zabezpieczenia. W odniesieniu do systemów, w których przetwarzane są informacje o klauzuli TRES SECRET UE/EU TOP SECRET, inspekcje takie przeprowadza się nie rzadziej niż raz do roku.

25.8. Okresowe lub doraźne korzystanie ze sprzętu komputerowego

25.8.1. Bezpieczeństwo komputerów osobistych

Komputery osobiste ze stałymi twardymi dyskami (lub inne trwałe komputerowe nośniki danych), funkcjonujące jako pojedyncze stanowiska lub w konfiguracji sieciowej, oraz przenośne urządzenia komputerowe (np. przenośne PC i elektroniczne "notebooki") z wbudowanymi twardymi dyskami są uznawane za nośniki danych tego samego typu, jak dyskietki i inne wyjmowalne nośniki danych.

Wymagane jest objęcie tych urządzeń ochroną w odniesieniu do dostępu, obsługi, przechowywania i przewozu, na poziomie przewidzianym dla najwyższej klauzuli informacji, jaka była na nich kiedykolwiek zapisana lub przetwarzana (do czasu obniżenia lub zniesienia tej klauzuli zgodnie z zatwierdzonymi procedurami).

25.8.2. Wykorzystywanie prywatnego sprzętu IT do wykonywania zadań Komisji

Zakazane jest wykorzystywanie stanowiących własność prywatną wyjmowalnych komputerowych nośników danych, oprogramowania i urządzeń (np. komputerów osobistych i przenośnych urządzeń komputerowych) wyposażonych w pamięć do przetwarzania informacji klasyfikowanych UE.

Stanowiący własność prywatną sprzęt, oprogramowanie i nośniki danych nie mogą być wnoszone na teren stref bezpieczeństwa klasy I lub II, w których przetwarza się informacje klasyfikowane UE, bez wydanego na piśmie zezwolenia dyrektora Dyrekcji ds. Bezpieczeństwa Komisji. Upoważnienie takie może być udzielone wyłącznie ze względów technicznych i w nadzwyczajnych przypadkach.

25.8.3. Wykorzystywanie sprzętu IT należącego do wykonawcy umowy lub przywiezionego z kraju do wykonywania zadań Komisji

Dyrektor Dyrekcji ds. Bezpieczeństwa Komisji może wyrazić zgodę na wykorzystanie sprzętu komputerowego i oprogramowania danej instytucji w celu wykonania zadań Komisji. Dozwolone jest także wykorzystywanie sprzętu komputerowego i oprogramowania dostarczonych przez Państwo Członkowskie; w tym wypadku wymagane jest umieszczenie sprzętu komputerowego w odpowiednim wykazie inwentarzowym Komisji. W obu przypadkach, jeśli sprzęt komputerowy ma być wykorzystywany do przetwarzania informacji klasyfikowanych UE, należy się skonsultować z władzą akredytacji bezpieczeństwa w celu zapewnienia, że zostały określone i wdrożone stosowne rozwiązania w zakresie INFOSEC.

26.

UDOSTĘPNIANIE INFORMACJI KLASYFIKOWANYCH UE PAŃSTWOM TRZECIM I ORGANIZACJOM MIĘDZYNARODOWYM

26.1.1. Zasady odnoszące się do udostępniania informacji klasyfikowanych UE

Decyzję o udostępnieniu informacji klasyfikowanych UE państwom trzecim lub organizacjom międzynarodowym podejmuje Komisja jako ciało kolegialne na podstawie analizy:

- charakteru i treści informacji;

- związku informacji z zadaniami, jakie wykonuje odbiorca;

- korzyści dla UE.

Obligatoryjne jest wystąpienie z wnioskiem o wyrażenie zgody na udostępnienie informacji klasyfikowanej UE do wytwórcy tej informacji.

Decyzje są podejmowane w trybie indywidualnym, przy czym bierze się pod uwagę:

- pożądany stopień współpracy z danym państwem lub organizacją międzynarodową;

- stopień zaufania, jakim można obdarzyć dane państwo lub organizację międzynarodową; ocena jest dokonywana na podstawie poziomu ochrony, która zostanie zapewniona powierzonym im informacjom klasyfikowanym UE, oraz stopnia zgodności pomiędzy zasadami bezpieczeństwa stosowanymi przez danego odbiorcę i obowiązującymi w UE. Grupa Doradcza Komisji do spraw Polityki Bezpieczeństwa przekazuje Komisji techniczną opinię na ten temat.

Przyjęcie przez państwa trzecie lub organizacje międzynarodowe informacji klasyfikowanych UE jest jednoznaczne z zapewnieniem, że informacje nie zostaną wykorzystane w celach innych niż te, w których zostały przekazane lub wymienione, oraz że zostanie im zapewniona ochrona zgodna z wymogami Komisji.

26.1.2. Poziomy współpracy

Komisja, po dokonaniu oceny, że możliwe jest udostępnienie informacji klasyfikowanych danemu państwu lub organizacji międzynarodowej, określa możliwy poziom współpracy z tym państwem lub organizacją. Poziom ten zależy w szczególności od polityki bezpieczeństwa i regulacji prawnych obowiązujących w danym państwie lub organizacji.

Wyróżnia się 3 poziomy współpracy:

Poziom 1

Współpraca z państwami trzecimi lub organizacjami międzynarodowymi, których polityka bezpieczeństwa i regulacje prawne są bardzo zbliżone do obowiązujących w UE.

Poziom 2

Współpraca z państwami trzecimi lub organizacjami międzynarodowymi, których polityka bezpieczeństwa i regulacje prawne istotnie się różnią od obowiązujących w UE.

Poziom 3

Incydentalna współpraca z państwami trzecimi lub organizacjami międzynarodowymi, których polityki bezpieczeństwa i regulacji prawnych nie da się ocenić.

Każdemu poziomowi współpracy są przypisane procedury i zasady bezpieczeństwa są szczegółowo określone w dodatkach 3, 4 i 5.

26.1.3. Umowy o bezpieczeństwie

W przypadku gdy Komisja oceni, że potrzeba wymiany informacji klasyfikowanych pomiędzy UE a państwami trzecimi lub organizacjami międzynarodowymi ma charakter stały i długotrwały, przygotuje "umowy o procedurach bezpieczeństwa w zakresie wymiany informacji klasyfikowanych", w których określi cel współpracy oraz wzajemne zasady ochrony wymienianych informacji.

W przypadku incydentalnej współpracy na poziomie 3, która z definicji ma ograniczony zakres i czas trwania, "umowę o procedurach bezpieczeństwa w zakresie wymiany informacji klasyfikowanych" może zastąpić protokół ustaleń określający charakter informacji podlegających wymianie oraz wzajemne obowiązki odnoszące się do ich ochrony; rozwiązanie takie jest jednak możliwe tylko wtedy, gdy przedmiotem wymiany są informacje o klauzuli nieprzekraczającej RESTREINT UE.

Projekty umów o procedurach bezpieczeństwa lub zapewnień o wzajemnym zrozumieniu, zanim zostaną przedstawione do akceptacji Komisji, muszą zostać poddane ocenie Grupy Doradczej Komisji do spraw Polityki Bezpieczeństwa.

Krajowe władze bezpieczeństwa udzielą członkowi Komisji odpowiedzialnemu za kwestie bezpieczeństwa wszelkiej niezbędnej pomocy w celu zapewnienia, że informacje, które mają zostać udostępnione, są wykorzystywane i chronione zgodnie z postanowieniami umów o procedurach bezpieczeństwa lub protokołów ustaleń.

27.

WSPÓLNE MINIMALNE STANDARDY W ZAKRESIE BEZPIECZEŃSTWA PRZEMYSŁOWEGO

27.1. Wprowadzenie

Niniejsza sekcja dotyczy aspektów bezpieczeństwa działalności przemysłowej specyficznych dla negocjowania i zawierania umów, w których powierza się zadania obejmujące informacje niejawne UE, wiążące się z takimi informacjami i/lub je zawierające, oraz dla wykonywania tych umów przez podmioty prowadzące działalność przemysłową lub inną, włącznie z udostępnianiem lub uzyskiwaniem dostępu do informacji niejawnych UE podczas przeprowadzania procedury zamówień publicznych (okres przetargowy oraz negocjacje poprzedzające zawarcie umowy).

27.2. Definicje

Do celów niniejszych wspólnych minimalnych standardów zastosowanie mają następujące definicje:

a) "umowa niejawna": każda umowa lub umowa o przyznanie dotacji dotycząca dostawy towarów, wykonania prac, udostępnienia budynków lub świadczenia usług, której wykonanie wymaga dostępu do informacji niejawnych UE lub wytwarzania takich informacji bądź obejmuje dostęp do nich lub ich wytwarzanie;

b) "niejawna umowa podwykonawcza": umowa zawierana przez wykonawcę z innym wykonawcą (tj. podwykonawcą) na dostawę towarów, wykonanie prac, udostępnienie budynków lub świadczenie usług, której wykonanie wymaga dostępu do informacji niejawnych UE lub wytwarzania takich informacji bądź obejmuje dostęp do nich lub ich wytwarzanie;

c) "wykonawca": osoba fizyczna lub prawna posiadająca zdolność prawną do zawierania umów lub bycia beneficjentem dotacji;

d) "wyznaczony organ bezpieczeństwa": instytucja odpowiedzialna wobec krajowej władzy bezpieczeństwa (KWB) państwa członkowskiego UE, odpowiadająca za przekazywanie podmiotom prowadzącym działalność przemysłową lub inną informacji dotyczących krajowej polityki we wszelkich kwestiach związanych z bezpieczeństwem przemysłowym oraz za udzielanie wskazówek i pomocy w jej realizacji. Zadania DSA może wykonywać KWB;

e) "świadectwo bezpieczeństwa przemysłowego (FSC)": stwierdzenie przez KWB/DSA w drodze administracyjnej, że z punktu widzenia bezpieczeństwa dany podmiot jest w stanie zapewnić właściwą ochronę informacji niejawnych UE o określonej klauzuli tajności oraz że jego pracownicy, którzy mają uzyskać dostęp do informacji niejawnych UE, zostali właściwie sprawdzeni pod względem bezpieczeństwa oraz przeszkoleni w zakresie odpowiednich wymogów bezpieczeństwa niezbędnych do uzyskania dostępu do informacji niejawnych UE i do ich ochrony;

f) "podmiot prowadzący działalność przemysłową lub inną": wykonawca lub podwykonawca zajmujący się dostawą towarów, wykonywaniem prac lub świadczeniem usług; pojęcie to może obejmować podmioty prowadzące działalność przemysłową, handlową, usługową, naukową, badawczą, edukacyjną lub rozwojową;

g) "bezpieczeństwo przemysłowe": stosowanie środków i procedur ochrony w celu zapobiegania utracie informacji niejawnych UE bądź narażaniu na szwank ich bezpieczeństwa, wykrywania takich zdarzeń oraz likwidowania ich skutków w odniesieniu do informacji niejawnych znajdujących się w dyspozycji wykonawcy lub podwykonawcy w trakcie negocjacji poprzedzających zawarcie umowy oraz w trakcie wykonywania umowy;

h) "krajowa władza bezpieczeństwa (KWB)": instytucja rządowa państwa członkowskiego UE ostatecznie odpowiedzialna za ochronę informacji niejawnych UE na terytorium tego państwa członkowskiego;

i) "ogólna klauzula tajności umowy": określenie klauzuli tajności całej umowy na podstawie klauzuli tajności informacji i/lub materiałów, które mają lub mogą być wytwarzane, udostępniane lub do których może być uzyskany dostęp na mocy któregokolwiek elementu całej umowy lub umowy o przyznanie dotacji. Ogólna klauzula tajności umowy nie może być niższa niż najwyższa klauzula tajności któregokolwiek z jej elementów, ale może ona być wyższa w związku z efektem kumulacji;

j) "dokument określający aspekty bezpieczeństwa (SAL)": zbiór specjalnych warunków dotyczących umowy, wydany przez instytucję zlecającą, stanowiący integralną część umowy niejawnej obejmującej dostęp do informacji niejawnych UE lub ich wytwarzanie, określający wymogi bezpieczeństwa lub wskazujący te elementy umowy, które wymagają ochrony;

k) "przewodnik nadawania klauzul (SCG)": dokument opisujący niejawne elementy programu, umowy lub umowy o przyznanie dotacji, określający mającą zastosowanie klauzulę tajności. SCG może być rozszerzany w okresie trwania programu lub umowy, a klauzule tajności dla części informacji mogą zostać zmienione lub obniżone. SCG musi stanowić część DAB.

27.3. Organizacja

a) Komisja może na podstawie umowy powierzyć zadania obejmujące informacje niejawne UE, wiążące się z takimi informacjami lub je zawierające, podmiotom prowadzącym działalność przemysłową lub inną, zarejestrowanym w państwie członkowskim.

b) Komisja zapewnia spełnienie wszystkich wymogów wynikających z niniejszych minimalnych standardów przy zawieraniu umów niejawnych.

c) Komisja angażuje KWB, które posiadają właściwe struktury, umożliwiające stosowanie niniejszych minimalnych standardów w zakresie bezpieczeństwa przemysłowego. Struktury te mogą obejmować jedną lub kilka DSA.

d) Ostateczna odpowiedzialność za ochronę informacji niejawnych UE w podmiotach prowadzących działalność przemysłową lub inną spoczywa na ich kierownictwie.

e) W przypadku zawierania umowy lub umowy podwykonawczej podlegającej niniejszym minimalnym standardom Komisja i/lub, w stosownych przypadkach, KWB/DSA niezwłocznie powiadomią o tym fakcie KWB/DSA państwa członkowskiego, w których wykonawca lub podwykonawca jest zarejestrowany.

27.4. Umowy niejawne i umowy w sprawie przyznania dotacji

a) Przy określaniu klauzuli tajności umowy lub umowy o przyznanie dotacji należy uwzględnić następujące zasady:

- Komisja określa, w stosownych przypadkach, aspekty umowy, które wymagają ochrony, oraz odpowiednią klauzulę tajności; czyniąc to, musi brać pod uwagę oryginalną klauzulę tajności przyznaną przez wytwórcę informacji wytworzonej przed zawarciem umowy,

- ogólna klauzula tajności umowy nie może być niższa niż najwyższa klauzula któregokolwiek z jej elementów,

- informacjom niejawnym UE wytworzonym w ramach działalności objętej umową nadaje się klauzule tajności zgodnie z przewodnikiem nadawania klauzul,

- w stosownych przypadkach Komisja odpowiada za dokonanie zmiany, w porozumieniu z wytwórcą, ogólnej klauzuli tajności umowy lub klauzuli tajności któregokolwiek jej elementu oraz za poinformowanie o tym wszystkich zainteresowanych stron,

- informacje niejawne udostępnione wykonawcy lub podwykonawcy lub wytworzone w ramach działalności objętej umową nie mogą być wykorzystywane w innych celach niż cele określone w umowie niejawnej i nie mogą być ujawniane stronom trzecim bez uprzedniej pisemnej zgody wytwórcy.

b) Komisja i KWB/DSA odpowiednich państw członkowskich odpowiadają za dopilnowanie, by wykonawcy lub podwykonawcy, z którymi zawarto umowy niejawne obejmujące informacje oznaczone klauzulą CONFIDENTIEL UE lub wyższą, stosowali wszelkie właściwe środki w celu zabezpieczania informacji niejawnych UE udostępnianych lub wytwarzanych przez nich w toku wykonywania umowy niejawnej, zgodnie z krajowymi przepisami ustawowymi i wykonawczymi. Niestosowanie się do wymogów bezpieczeństwa może skutkować rozwiązaniem umowy.

c) Wszystkie podmioty prowadzące działalność przemysłową lub inną, będące stronami umów obejmujących dostęp do informacji oznaczonych klauzulą CONFIDENTIEL UE lub wyższą, muszą posiadać krajowe FSC. FSC przyznawane jest przez KWB/DSA państwa członkowskiego w celu potwierdzenia, że dany podmiot jest w stanie zapewnić właściwą ochronę informacji niejawnych UE odpowiednio do określonego poziomu klauzuli tajności.

d) KWB/WWB odpowiada za wydawanie, zgodnie z przepisami krajowymi, poświadczenia bezpieczeństwa osobowego (FSO) wszystkim osobom zatrudnionym w podmiotach prowadzących działalność przemysłową lub inną, zarejestrowanych w tym państwie członkowskim, których obowiązki wymagają dostępu do informacji UE oznaczonych klauzulą CONFIDENTIEL UE lub wyższą, objętych umową niejawną.

e) Umowy niejawne muszą zawierać SAL, jak określono w pkt 27.2. lit. j). SAL musi zawierać SCG.

f) Przed rozpoczęciem negocjacji umowy niejawnej Komisja skontaktuje się z KWB/DSA państwa członkowskiego, w którym zarejestrowane są dane podmioty prowadzące działalność przemysłową lub inną, w celu otrzymania potwierdzenia, że posiadają one ważne FSC odpowiednie do klauzuli tajności umowy.

g) Instytucja zlecająca nie powinna zawierać umowy niejawnej z wybranym podmiotem gospodarczym przed uzyskaniem ważnego certyfikatu FSC.

h) Nie wymaga się FSC dla umów obejmujących informacje oznaczone klauzulą RESTREINT UE, chyba że wymagają tego krajowe przepisy ustawowe i wykonawcze państw członkowskich.

i) W przypadku przetargów dotyczących umów niejawnych zaproszenia do zgłaszania ofert muszą zawierać klauzulę zastrzegającą, że uczestnik przetargu, który nie złoży oferty lub który nie zostanie wybrany, będzie zobowiązany do zwrotu w określonym terminie wszystkich dokumentów.

j) Istnieje możliwość, że wykonawca będzie musiał negocjować niejawne umowy podwykonawcze z podwykonawcami na różnych poziomach. Wykonawca odpowiada za zapewnienie, by wszystkie czynności podwykonawcze były podejmowane zgodnie ze wspólnymi minimalnymi standardami zawartymi w niniejszej sekcji. Jednakże wykonawca nie może przekazywać podwykonawcy informacji lub materiałów niejawnych UE bez uprzedniej pisemnej zgody wytwórcy.

k) Warunki, na których wykonawca może zawrzeć umowę z podwykonawcą, muszą zostać określone w specyfikacji przetargowej oraz w umowie. Nie można zawrzeć żadnej umowy podwykonawczej z podmiotami zarejestrowanymi w państwie niebędącym członkiem UE bez wyraźnego pisemnego upoważnienia Komisji.

l) W czasie trwania umowy odpowiednia Komisja we współpracy z DSA/WWB będzie sprawowała kontrolę nad przestrzeganiem wszystkich przepisów bezpieczeństwa zawartych w umowie. Powiadamianie o wydarzeniach istotnych ze względu na bezpieczeństwo należy ująć w sprawozdaniu zgodnie z przepisami określonymi w części II sekcji 24 niniejszych przepisów bezpieczeństwa. Komisja oraz każda KWB/WWB, którą powiadomiono o FSC, są natychmiast informowane o jego zmianie lub cofnięciu.

m) W przypadku rozwiązania umowy niejawnej lub niejawnej umowy podwykonawczej Komisja lub, w stosownym przypadku, KWB/DSA niezwłocznie powiadomią o tym fakcie KWB/DSA państwa członkowskiego, w którym zarejestrowany jest wykonawca lub podwykonawca.

n) Po rozwiązaniu lub zakończeniu umowy niejawnej lub niejawnej umowy podwykonawczej w dalszym ciągu zastosowanie znajdują wspólne minimalne standardy zawarte w niniejszej sekcji, a wykonawcy i podwykonawcy nadal utrzymują w tajemnicy informacje niejawne.

o) Przepisy szczególne dotyczące niszczenia informacji niejawnych po zakończeniu umowy określone zostaną w SAL lub innych odpowiednich przepisach określających wymogi bezpieczeństwa.

p) Warunki i zobowiązania określone w niniejszej sekcji mają zastosowanie mutatis mutandis w odniesieniu do procedur udzielania dotacji zgodnie z przepisami decyzji oraz w szczególności do beneficjentów takich dotacji. Decyzja o przyznaniu dotacji określa wszystkie zobowiązania beneficjenta.

27.5. Wizyty

Wizyty pracowników Komisji w tych podmiotach prowadzących działalność przemysłową lub inną w państwach członkowskich, które wykonują umowy niejawne UE, muszą zostać uzgodnione z odpowiednią KWB/DSA. Wizyty pracowników podmiotów prowadzących działalność przemysłową lub inną w ramach umowy niejawnej UE muszą zostać uzgodnione pomiędzy właściwymi KWB/DSA. Jednakże KWB/DSA zaangażowane w umowę niejawną UE mogą wyrazić zgodę na procedurę, zgodnie z którą wizyty pracowników podmiotów prowadzących działalność przemysłową lub inną mogą być uzgadniane bezpośrednio.

27.6. Przesyłanie i przewóz informacji niejawnych UE

a) W odniesieniu do przesyłania informacji niejawnych UE zastosowanie mają przepisy rozdziału II sekcji 21 niniejszych przepisów bezpieczeństwa. Jako uzupełnienie tych przepisów zastosowanie będą miały wszelkie istniejące procedury obowiązujące między państwami członkowskimi.

b) Międzynarodowy przewóz materiałów niejawnych UE w ramach umów niejawnych odbywa się zgodnie z krajowymi procedurami państw członkowskich. Przy analizie uzgodnień dotyczących bezpieczeństwa przewozu międzynarodowego będą miały zastosowanie następujące zasady:

- bezpieczeństwo zapewnia się na wszystkich etapach przewozu oraz we wszelkich okolicznościach, począwszy od miejsca wyjazdu do ostatecznego miejsca przeznaczenia,

- przesyłka podlega ochronie przewidzianej dla najwyższej klauzuli tajności materiału, który się w niej znajduje,

- firmy świadczące usługę przewozu w stosownych przypadkach uzyskują FSC. W takich przypadkach pracownicy przewożący przesyłkę podlegają sprawdzeniu pod względem bezpieczeństwa zgodnie ze wspólnymi minimalnymi standardami zawartymi w niniejszej sekcji,

- przejazdy są w miarę możliwości bezpośrednie i trwają nie dłużej niż jest to konieczne ze względu na okoliczności,

- jeżeli jest to możliwe, trasy powinny przebiegać wyłącznie przez państwa członkowskie UE. Trasy przebiegające przez państwa niebędące członkami UE mogą zostać ustalone pod warunkiem zatwierdzenia przez KWB/DSA zarówno państwa nadawcy, jak i państwa odbiorcy,

- przed jakimkolwiek przemieszczeniem materiałów niejawnych UE nadawca sporządza plan przewozu, podlegający zatwierdzeniu przez odpowiednie KWB/DSA.

DODATEK 1

PORÓWNANIE NARODOWYCH KLASYFIKACJI BEZPIECZEŃSTWA

Klasyfikacja UE	TRES SECRET UE/ EU TOP SECRET	SECRET UE	CONFIDENTIEL UE	RESTREINT UE
Klasyfikacja UZE	FOCAL TOP SECRET	WEU SECRET	WEU CONFIDENTIAL	WEU RESTRICTED
Klasyfikacja Euratomu	EURA TOP SECRET	EURA SECRET	EURA CONFIDENTIAL	EURA RESTRICTED
Klasyfikacja NATO	COSMIC TOP SECRET	NATO SECRET	NATO CONFIDENTIAL	NATO RESTRICTED
Austria	Streng Geheim	Geheim	Vertraulich	Eingeschränkt
Belgia	Très Secret	Secret	Confidentiel	Diffusion restreinte
	Zeer Geheim	Geheim	Vertrouwelijk	Beperkte Verspreiding
Cypr	Άκρως Απόρρητο	Απόρρητο	Εμπιστευτικό	Περιορισμένης Χρήσης
Czechy	Přísně tajné	Tajné	Důvěrné	Vyhrazené
Dania	Yderst hemmeligt	Hemmeligt	Fortroligt	Til tjenestebrug
Estonia	Täiesti salajane	Salajane	Konfidentsiaalne	Piiratud
Niemcy	Streng geheim	Geheim	VS⁽¹⁾ - Vertraulich	VS - Nur für den Dienstgebrauch
Grecja	Άκρως Απόρρητο	Απόρρητο	Εμπιστευτικό	Περιορισμένης Χρήσης
	Abr: ΑΑΠ	Abr: (ΑΠ)	Αbr: (ΕΜ)	Abr: (ΠΧ)
Finlandia	Erittäin salainen	Erittäin salainen	Salainen	Luottamuksellinen
Francja	Très Secret	Secret Défense	Confidentiel
	Défense⁽²⁾	Secret Défense	Défense
Irlandia	Top Secret	Secret	Confidential	Restricted
Włochy	Segretissimo	Segreto	Riservatissimo	Riservato
Łotwa	Sevišķi slepeni	Slepeni	Konfidenciāli	Dienesta vajadzībām
Litwa	Visiškai slaptai	Slaptai	Konfidencialiai	Riboto naudojimo
Luksemburg	Très Secret	Secret	Confidentiel	Diffusion restreinte
Węgry	Szigorúan titkos !	Titkos !	Bizalmas !	Korlátozott terjesztésű !
Malta	L-Ghola Segretezza	Sigriet	Kunfidenzjali	Ristrett
Niderlandy	Stg⁽³⁾. Zeer Geheim	Stg. Geheim	Stg. Confidentieel	Departementaalvertrouwelijk
Polska	Ściśle tajne	Tajne	Poufne	Zastrzeżone
Portugalia	Muito Secreto	Secreto	Confidencial	Reservado
Słowenia	Strogo tajno	Tajno	Zaupno	SVN Interno
Słowacja	Prísne tajné	Tajné	Dôverné	Vyhradené
Hiszpania	Secreto	Reservado	Confidencial	Difusión Limitada
Szwecja	Kvalificerat hemlig	Hemlig	Hemlig	Hemlig
Wielka Brytania	Top Secret	Secret	Confidential	Restricted
⁽¹⁾ VS = Verschlusssache.
⁽²⁾ Klasyfikacja Très Secret Défense, która obejmuje kwestie priorytetowe dla rządu, może być zmieniona jedynie za zgodą Premiera Rządu.
⁽³⁾ Stg = staatsgeheim.

DODATEK 2

PRAKTYCZNY PRZEWODNIK NADAWANIA KLAUZUL

Poniższy przewodnik ma jedynie charakter instrukcji i nie może być wykorzystywany w sposób zmieniający znaczenie podstawowych przepisów zawartych w sekcjach 16, 17, 20 i 21.

Klauzula tajności	Kiedy	Kto	Oznaczenia	Obniżanie klauzuli/znoszenie klauzuli/niszczenie
	Kiedy	Kto	Oznaczenia	Kto	Kiedy
TRES SECRET UE/EU TOP SECRET: Tę klauzulę nadaje się tylko informacji lub materiałowi, których nieupoważnione ujawnienie spowodowałoby wyjątkowo duże szkody podstawowym interesom Unii Europejskiej albo jednemu lub więcej jej Państw Członkowskich [16.1].	Narażenie na szwank bezpieczeństwa zasobów oznaczonych TRES SECRET UE/EU TOP SECRET mogłoby: - zagrozić bezpośrednio wewnętrznej stabilności UE lub jednego z Państw Członkowskich lub państwa przyjaźnie nastawionego, - narazić na wyjątkowo duże szkody stosunki z przyjaźnie nastawionymi rządami, - bezpośrednio spowodować utratę życia wielu osób, - wyrządzić wyjątkowo duże szkody operacyjnym zdolnościom lub bezpieczeństwu Państw Członkowskich lub sił zbrojnych innych uczestników, lub też utrzymaniu skuteczności wyjątkowo ważnych działań wywiadowczych lub w sferze bezpieczeństwa, - spowodować poważne i długotrwałe szkody gospodarcze w skali UE lub poszczególnych Państw Członkowskich.	Odpowiednio upoważnione osoby (wytwórcy), dyrektorzy generalni, szefowie służb [17.1]. Wytwórcy są zobowiązani do określenia daty lub okresu, gdy klauzula informacji może zostać obniżona lub zniesiona. [16.2]. W przeciwnym razie są oni zobowiązani do przeprowadzania przynajmniej raz na 5 lat przeglądu dokumentów w celu dokonania oceny, czy nadana klauzula nadal jest konieczna [17.3].	Klauzula TRES SECRET UE/EU TOP SECRET jest nanoszona na dokumentach TRES SECRET UE/EU TOP SECRET; uzupełniona - gdzie ma to zastosowanie - dodatkowym zastrzeżeniem i/lub oznaczeniem związanym z obronnością ESDP, za pomocą środków mechanicznych i ręcznie [16.4, 16.5, 16.3]. Klauzula tajności UE musi być umieszczona u góry i na dole każdej strony, a wszystkie strony muszą być ponumerowane. Każdy dokument musi mieć naniesiony numer korespondencyjny i datę; wymagane jest umieszczenie numeru korespondencyjnego na każdej stronie. W przypadku gdy dokumenty mają być dystrybuowane w kilku egzemplarzach, każdy z nich musi mieć umieszczony na pierwszej stronie numer egzemplarza oraz informację o liczbie stron. Obligatoryjne jest wymienienie na pierwszej stronie wszystkich załączników i aneksów [21.1].	Prawo do obniżenia lub zniesienia klauzuli pozostaje wyłącznie w gestii wytwórcy; jest on zobowiązany do poinformowania o zmianie wszystkich odbiorców informacji, do których przesłał dokument lub dla których wykonał jego kopię [17.3]. Dokumenty o klauzuli TRES SECRET UE/EU TOP SECRET mogą być niszczone wyłącznie w głównej kancelarii tajnej lub podkancelarii, pod której nadzorem pozostają. Każdy zniszczony dokument musi być odnotowany w protokole zniszczenia, który podpisuje urzędnik kontroli TRES SECRET UE/EU TOP SECRET i urzędnik będący świadkiem niszczenia; urzędnik ten musi być sprawdzony w związku z dostępem do informacji o tej klauzuli. Fakt zniszczenia dokumentu musi być odnotowany w odpowiednim dzienniku. Kancelaria tajna przechowuje protokoły zniszczenia, razem z kartami zapoznania się z dokumentem, przez 10 lat [22.5].	Zbędne egzemplarze i dokumenty, które nie są już potrzebne, podlegają zniszczeniu [22.5]. Dokumenty o klauzuli TRES SECRET UE/EU TOP SECRET, w tym także zbędne materiały powstałe w toku wytwarzania dokumentów o tej klauzuli, jak np. uszkodzone kopie, szkice robocze, notatki i kalki maszynowe, muszą być zniszczone - pod kontrolą urzędnika kontroli TRES SECRET UE/EU TOP SECRET - przez spalenie, przetworzenie na miazgę, pocięcie w niszczarce lub w inny sposób, który zapewnia, że staną się one nierozpoznawalne i niemożliwe do odtworzenia [22.5].
SECRET UE UE: Tę klauzulę nadaje się tylko informacji lub materiałowi, których nieupoważnione ujawnienie mogłoby poważnie zaszkodzić podstawowym interesom Unii Europejskiej albo jednego lub więcej jej Państw Członkowskich [16.1].	Narażenie na szwank bezpieczeństwa zasobów oznaczonych SECRET UE mogłoby: - spowodować napięcia w stosunkach międzynarodowych, - narazić na szkodę stosunki z przyjaźnie nastawionymi rządami, - wywołać zagrożenie utraty życia lub poważnie zagrozić porządkowi publicznemu, bezpieczeństwu osób lub ich swobodom, - wyrządzić poważne szkody operacyjnym zdolnościom lub bezpieczeństwu Państw Członkowskich lub sił zbrojnych innych uczestników, lub też utrzymaniu skuteczności ważnych działań wywiadowczych lub w sferze bezpieczeństwa, - spowodować istotne szkody materialne dla UE lub dla finansowych, monetarnych, ekonomicznych lub handlowych interesów któregoś z Państw Członkowskich.	Upoważnione osoby (wytwórcy), dyrektorzy generalni, szefowie służb [17.1]. Wytwórcy są zobowiązani do określenia daty lub okresu, gdy klauzula informacji może zostać obniżona lub zniesiona [16.2]. W przeciwnym razie są oni zobowiązani do przeprowadzania przynajmniej raz na 5 lat przeglądu dokumentów w celu dokonania oceny, czy nadana klauzula nadal jest konieczna [17.3].	Klauzula SECRET UE jest nanoszona na dokumentach SECRET UE; uzupełniona - gdzie ma to zastosowanie - zastrzeżeniem i/lub oznaczeniem związanym z obronnością ESDP, za pomocą środków mechanicznych i ręcznie [16.4, 16.5, 16.3]. Klauzula tajności UE musi być umieszczona u góry i na dole każdej strony, a wszystkie strony muszą być ponumerowane. Każdy dokument musi mieć naniesiony numer korespondencyjny i datę; wymagane jest umieszczenie numeru korespondencyjnego na każdej stronie. W przypadku gdy dokumenty mają być dystrybuowane w kilku egzemplarzach, każdy z nich musi mieć umieszczony na pierwszej stronie numer egzemplarza oraz informację o liczbie stron. Obligatoryjne jest wymienienie na pierwszej stronie wszystkich załączników i aneksów [21.1].	Prawo do obniżenia lub zniesienia klauzuli pozostaje wyłącznie w gestii wytwórcy; jest on zobowiązany do poinformowania o zmianie wszystkich odbiorców informacji, do których przesłał dokument lub dla których wykonał jego kopię [17.3]. Dokumenty o klauzuli SECRET UE mogą być niszczone wyłącznie w kancelarii, która sprawuje nad nimi nadzór, pod kontrolą odpowiednio sprawdzonej osoby. Zniszczone dokumenty o klauzuli SECRET UE muszą być odnotowane w podpisanych protokołach zniszczenia, które są co najmniej przez 3 lata przechowywane przez daną kancelarię, razem z kartami zapoznania z dokumentem [22.5].	Zbędne egzemplarze i dokumenty, które nie są już potrzebne, podlegają zniszczeniu [22.5]. Dokumenty o klauzuli SECRET UE, w tym także zbędne materiały powstałe w toku wytwarzania dokumentów o tej klauzuli, jak np. uszkodzone kopie, szkice robocze, notatki i kalki maszynowe, muszą być zniszczone przez spalenie, przetworzenie na miazgę, pocięcie w niszczarce lub w inny sposób, który zapewnia, że staną się one nierozpoznawalne i niemożliwe do odtworzenia [22.5].
CONFIDENTIEL UE: Tę klauzulę nadaje się informacji lub materiałowi, których nieupoważnione ujawnienie mogłoby zaszkodzić podstawowym interesom Unii Europejskiej albo jednego lub więcej jej Państw Członkowskich [16.1].	Narażenie na szwank bezpieczeństwa zasobów oznaczonych CONFIDENTIEL UE mogłoby: - istotnie zaszkodzić stosunkom dyplomatycznym, tzn. spowodować formalne protesty lub zastosowanie innych sankcji, - narazić na szkodę bezpieczeństwo osób lub ich swobody, - zaszkodzić operacyjnym zdolnościom lub bezpieczeństwu Państw Członkowskich lub sił zbrojnych innych uczestników, lub też skuteczności ważnych działań wywiadowczych lub w sferze bezpieczeństwa, - poważnie osłabić finansowe podstawy funkcjonowania istotniejszych organizacji, - utrudnić prowadzenie śledztwa lub ułatwić popełnienie poważnego przestępstwa, - być niezgodne z finansowymi, monetarnymi, ekonomicznymi lub handlowymi interesami UE lub jej Państw Członkowskich, - poważnie utrudnić rozwój lub realizację istotnych kierunków polityki UE, - zablokować lub w inny sposób istotnie przeszkodzić w prowadzeniu ważnych działań UE.	Upoważnione osoby (wytwórcy), dyrektorzy generalni i szefowie służb [17.1]. Wytwórcy są zobowiązani do określenia daty lub okresu, gdy klauzula informacji może zostać obniżona lub zniesiona [16.2]. W przeciwnym razie są oni zobowiązani do przeprowadzania przynajmniej raz na 5 lat przeglądu dokumentów w celu dokonania oceny, czy nadana klauzula nadal jest konieczna [17.3].	Klauzula CONFIDENTIEL UE jest nanoszona na dokumentach CONFIDENTIEL UE; uzupełniona - gdzie ma to zastosowanie - zastrzeżeniem i/lub oznaczeniem związanym z obronnością ESDP, za pomocą środków mechanicznych i ręcznie lub przez drukowanie na wcześniej oznakowanych i zarejestrowanych arkuszach [16.4, 16.5, 16.3]. Klauzula tajności UE musi być umieszczona u góry i na dole każdej strony, a wszystkie strony muszą być ponumerowane. Każdy dokument musi mieć naniesiony numer korespondencyjny i datę. Obligatoryjne jest wymienienie na pierwszej stronie wszystkich załączników i aneksów [21.1].	Prawo do obniżenia lub zniesienia klauzuli pozostaje wyłącznie w gestii wytwórcy; jest on zobowiązany do poinformowania o zmianie wszystkich odbiorców informacji, do których przesłał dokument lub dla których wykonał jego kopię [17.3]. Dokumenty o klauzuli CONFIDENTIEL UE mogą być niszczone wyłącznie w kancelarii, która sprawuje nad nimi nadzór, pod kontrolą odpowiednio sprawdzonej osoby. Fakt zniszczenia jest dokumentowany zgodnie z przepisami krajowymi, a w przypadku Komisji lub zdecentralizowanych agencji UE, zgodnie z instrukcjami członka Komisji odpowiedzialnego za kwestie bezpieczeństwa [22.5].	Zbędne egzemplarze i dokumenty, które nie są już potrzebne, podlegają zniszczeniu [22.5]. Dokumenty o klauzuli CONFIDENTIEL UE, w tym także zbędne materiały powstałe w toku wytwarzania dokumentów o tej klauzuli, jak np. uszkodzone kopie, szkice robocze, notatki i kalki maszynowe, muszą być zniszczone przez spalenie, przetworzenie na miazgę, pocięcie w niszczarce lub w inny sposób, który zapewnia, że staną się one nierozpoznawalne i niemożliwe do odtworzenia [22.5].
RESTREINT UE: Tę klauzulę nadaje się informacji lub materiałowi, których nieupoważnione ujawnienie byłoby niekorzystne z punktu widzenia interesów Unii Europejskiej albo jednego lub więcej jej Państw Członkowskich [16.1].	Narażenie na szwank bezpieczeństwa zasobów oznaczonych RESTREINT UE mogłoby: - zaszkodzić stosunkom dyplomatycznym, - spowodować istotne niedogodności dla osób, - utrudnić utrzymanie operacyjnych zdolności lub bezpieczeństwa Państw Członkowskich lub sił zbrojnych innych uczestników, - spowodować straty finansowe lub też ułatwić czerpanie nieuzasadnionych zysków lub korzyści przez osoby lub przedsiębiorców, - naruszyć właściwe rozwiązania przyjęte w celu zachowania poufności informacji przekazanych przez strony trzecie, - naruszyć obowiązujące ograniczenia dotyczące ujawniania informacji, - utrudnić prowadzenie śledztwa lub ułatwić popełnienie przestępstwa, - niekorzystnie wpłynąć na przebieg handlowych lub politycznych negocjacji prowadzonych przez UE lub Państwa Członkowskie z innymi podmiotami, - utrudnić rozwój lub realizację istotnych kierunków polityki UE, - utrudnić odpowiednie zarządzanie UE i jej działaniami.	Upoważnione osoby (wytwórcy), dyrektorzy generalni, szefowie służb [17.1]. Wytwórcy są zobowiązani do określenia daty lub okresu, gdy klauzula informacji może zostać obniżona lub zniesiona. [16.2]. W przeciwnym razie są oni zobowiązani do przeprowadzania przynajmniej raz na 5 lat przeglądu dokumentów w celu dokonania oceny, czy nadana klauzula nadal jest konieczna [17.3].	Klauzula RESTREINT UE jest nanoszona na dokumentach RESTREINT UE; uzupełniona - gdzie ma to zastosowanie - zastrzeżeniem i/lub oznaczeniem związanym z obronnością ESDP, za pomocą środków mechanicznych lub elektronicznych [16.4, 16.5, 16.3]. Klauzula tajności UE musi być umieszczona u góry i na dole każdej strony, a wszystkie strony muszą być ponumerowane. Każdy dokument musi mieć naniesiony numer korespondencyjy i datę [21.1].	Prawo do obniżenia lub zniesienia klauzuli pozostaje wyłącznie w gestii wytwórcy; jest on zobowiązany do poinformowania o zmianie wszystkich odbiorców informacji, do których przesłał dokument lub dla których wykonał jego kopię [17.3]. Dokumenty o klauzuli RESTREINT UE mogą być niszczone wyłącznie w kancelarii, zgodnie z instrukcjami członka Komisji odpowiedzialnego za kwestie bezpieczeństwa [22.5].	Zbędne egzemplarze i dokumenty, które nie są już potrzebne, podlegają zniszczeniu [22.5].

€DODATEK 3[]

Zalecenia odnoszące się do udostępniania informacji klasyfikowanych UE państwom trzecim lub organizacjom międzynarodowym: współpraca na poziomie 1

PROCEDURY

3.

W toku rozpatrywania wniosku członek Komisji odpowiedzialny za kwestie bezpieczeństwa:

PRZEPISY BEZPIECZEŃSTWA OBOWIĄZUJĄCE PODMIOTY, KTÓRYM PRZEKAZYWANE SĄ INFORMACJE

7.

Bezpieczeństwo osobowe

8.

Przesyłanie dokumentów

b)

W przypadku gdy wśród informacji, na udostępnienie których Komisja wyraziła zgodę, znajdują się informacje o klauzuli TRES SECRET UE/EU TOP SECRET, państwo lub organizacja międzynarodowa, którym informacje te mają zostać przekazane, są zobowiązane do ustanowienia Głównej Kancelarii Tajnej UE oraz, gdy istnieje taka potrzeba, podkancelarii UE. Kancelarie te muszą stosować się do przepisów ściśle odpowiadających postanowieniom sekcji 22 niniejszych przepisów bezpieczeństwa.

9.

Rejestrowanie

Kancelaria, niezwłocznie po otrzymaniu dokumentów klasyfikowanych UE o klauzuli CONFIDENTIEL UE lub wyższej, odnotowuje ich wpływ w specjalnym rejestrze prowadzonym w danej instytucji. Wpis do rejestru musi zawierać następujące dane: datę otrzymania, dane identyfikujące dokument (datę wytworzenia, numer dziennika korespondencyjnego, numer egzemplarza), klauzulę tajności, tytuł, tytuł lub nazwisko odbiorcy, datę zwrotu potwierdzenia odbioru oraz datę zwrotu dokumentu do wytwórcy w UE lub jego zniszczenia.

10.

Niszczenie

12.

Kopie, tłumaczenia i wyciągi

Kopie i tłumaczenia z dokumentów o klauzuli CONFIDENTIEL UE lub SECRET UE, a także wyciągi, nie mogą być wykonywane bez upoważnienia kierownika właściwej struktury ochrony, do którego obowiązków należy dokonanie rejestracji i sprawdzenie wykonanych kopii, tłumaczeń i wyciągów oraz, gdy jest to wymagane, ich ostemplowanie.

Zgodę na wykonanie kopii lub tłumaczenia dokumentu o klauzuli TRES SECRET UE/EU TOP SECRET może wyrazić jedynie instytucja, w której został on wytworzony, określając jednocześnie liczbę egzemplarzy, w jakiej dany dokument lub jego tłumaczenie może być powielone. W przypadku gdy nie ma możliwości określenia instytucji, która wytworzyła dokument, wniosek należy kierować do Dyrekcji ds. Bezpieczeństwa Komisji.

13.

Nieprzestrzeganie przepisów bezpieczeństwa

Gdy stwierdzono, że doszło do nieprzestrzegania przepisów bezpieczeństwa w odniesieniu do ochrony dokumentów klasyfikowanych UE lub istnieje takie podejrzenie, niezwłocznie należy podjąć określone poniżej działania, pod warunkiem zawarcia umowy o bezpieczeństwie:

DODATEK 4

Zalecenia odnoszące się do udostępniania informacji klasyfikowanych UE państwom trzecim lub organizacjom międzynarodowym: współpraca na poziomie 2

PROCEDURY

4.

W toku rozpatrywania wniosku członek Komisji odpowiedzialny za kwestie bezpieczeństwa:

5.

Techniczna opinia Grupy Doradczej Komisji do spraw Polityki Bezpieczeństwa obejmuje następujące kwestie:

PRZEPISY BEZPIECZEŃSTWA OBOWIĄZUJĄCE PODMIOTY, KTÓRYM PRZEKAZYWANE SĄ INFORMACJE

10.

Bezpieczeństwo osobowe

12.

Rejestrowanie w momencie otrzymania

Krajowa władza bezpieczeństwa państwa otrzymującego informacje lub jej odpowiednik odbierający w imieniu rządu informacje klasyfikowane przekazane przez Komisję, lub też biuro bezpieczeństwa organizacji międzynarodowej, są zobowiązani do stworzenia specjalnego rejestru do odnotowywania wpływu informacji klasyfikowanych UE. Wpis do rejestru musi zawierać następujące dane: datę otrzymania, dane identyfikujące dokument (datę wytworzenia, numer dziennika korespondencyjnego, numer egzemplarza), klauzulę tajności, tytuł, tytuł lub nazwisko odbiorcy, datę zwrotu potwierdzenia odbioru oraz datę zwrotu dokumentu do wytwórcy w UE lub jego zniszczenia.

14.

Ochrona dokumentów

a)

Dokumenty, w czasie gdy nie są wykorzystywane, muszą być przechowywane w sejfach lub szafach metalowych, zatwierdzonych do przechowywania krajowych materiałów o równorzędnej klauzuli tajności. Na sejfie lub szafie nie umieszcza się żadnych oznaczeń wskazujących na ich zawartość; dostęp do nich mogą mieć jedynie osoby upoważnione do wykonywania czynności związanych z obiegiem informacji klasyfikowanych UE. W przypadku używania zamków szyfrowych kombinacje mogą znać jedynie ci urzędnicy danego państwa lub organizacji międzynarodowej, którzy zostali upoważnieni do dostępu do informacji klasyfikowanych UE przechowywanych w danym sejfie lub szafie pancernej. Kombinacje muszą być zmieniane co sześć miesięcy lub przed upływem tego okresu, jeśli któryś z urzędników został przeniesiony, jeśli w stosunku do któregoś z nich została cofnięta decyzja o spełnianiu warunków bezpieczeństwa lub gdy istnieje zagrożenie, że bezpieczeństwo informacji zostanie narażone na szwank.

b)

Dokumenty klasyfikowane UE mogą być pobierane z sejfu lub szafy metalowej wyłącznie przez urzędników, którzy zostali odpowiednio sprawdzeni, a zapoznanie się z informacjami jest konieczne do wykonywania przez nich obowiązków służbowych. Przez okres, kiedy dokumenty znajdują się w ich posiadaniu, są oni odpowiedzialni za zapewnienie im bezpieczeństwa, a w szczególności za zapewnienie, że nie uzyska do nich dostępu osoba nieupoważniona. Muszą także zapewnić, że dokumenty, po wykorzystaniu lub po zakończeniu godzin pracy, są przechowywane w sejfie lub szafie metalowej.

15.

Bezpieczeństwo fizyczne

16.

Nieprzestrzeganie przepisów bezpieczeństwa

Gdy stwierdzono, że doszło do nieprzestrzegania przepisów bezpieczeństwa w odniesieniu do ochrony dokumentów klasyfikowanych UE lub istnieje takie podejrzenie, niezwłocznie należy podjąć określone poniżej działania:

DODATEK 5

Zalecenia odnoszące się do udostępniania informacji klasyfikowanych UE państwom trzecim lub organizacjom międzynarodowym: współpraca na poziomie 3

PROCEDURY

2.

Uprawnienie do podejmowania decyzji o udostępnieniu informacji klasyfikowanych UE państwom, których polityka bezpieczeństwa i regulacje prawne istotnie różnią się od obowiązujących w UE, pozostaje w kompetencjach wytwórcy. Prawo do podjęcia takiej decyzji w odniesieniu do informacji wytworzonych w ramach Komisji należy do Komisji jako ciała kolegialnego.

Możliwość udostępnienia takim podmiotom informacji klasyfikowanych UE jest w zasadzie ograniczona do informacji objętych klauzulą do poziomu SECRET UE.

5.

Techniczna opinia Grupy Doradczej do spraw Polityki Bezpieczeństwa obejmuje następujące kwestie:

6.

Dokumenty udostępniane państwom trzecim lub organizacjom na podstawie niniejszego załącznika są, w zasadzie, pozbawiane odniesień do ich pochodzenia lub klauzuli tajności UE. Grupa Doradcza Komisji do spraw Polityki Bezpieczeństwa może zalecić:

PRZEPISY BEZPIECZEŃSTWA OBOWIĄZUJĄCE PODMIOTY, KTÓRYM PRZEKAZYWANE SĄ INFORMACJE

13.

Przesyłanie dokumentów

b)

Dokumenty o klauzuli CONFIDENTIEL UE i wyższej muszą być przesyłane w podwójnym opakowaniu. Na kopercie wewnętrznej muszą być naniesione ustalona szczególna pieczątka lub kryptonim oraz odniesienie do szczególnej klasyfikacji przyjętej dla danego dokumentu. Do każdego dokumentu klasyfikowanego dołącza się formularz potwierdzenia odbioru. Formularz ten nie jest klasyfikowany; podaje się w nim dane identyfikujące dokumentu (numer dziennika korespondencyjnego, datę, numer egzemplarza) oraz język, w którym został sporządzony; nie podaje się natomiast tytułu.

14.

Rejestrowanie w momencie otrzymania

Krajowa władza bezpieczeństwa państwa otrzymującego informacje lub jej odpowiednik odbierający w imieniu rządu informacje klasyfikowane przekazane przez UE, lub też biuro bezpieczeństwa organizacji międzynarodowej, są zobowiązani do stworzenia specjalnego rejestru do odnotowywania wpływu informacji klasyfikowanych UE. Wpis do rejestru musi zawierać następujące dane: datę otrzymania, dane identyfikujące dokument (datę wytworzenia, numer dziennika korespondencyjnego, numer egzemplarza), klauzulę tajności, tytuł, tytuł lub nazwisko odbiorcy, datę zwrotu potwierdzenia odbioru oraz datę zwrotu dokumentu do wytwórcy w UE lub jego zniszczenia.

15.

Wykorzystanie i ochrona przekazanych informacji klasyfikowanych

a)

Do dokumentów o klauzuli na poziomie SECRET UE mogą mieć dostęp wyłącznie specjalnie wyznaczeni urzędnicy, upoważnieni do dostępu do informacji objętych tą klauzulą. Mogą być przechowywane wyłącznie w dobrej jakości sejfach, które mogą być otwierane jedynie przez osoby upoważnione do dostępu do informacji, które się w nich znajdują. Strefy, w których sejfy te się znajdują, muszą być pod stałą ochroną; wymagane jest ustanowienie systemu weryfikacji dostępu w celu zapewnienia, że wpuszczane są tylko osoby odpowiednio do tego upoważnione. Informacje o klauzuli na poziomie SECRET UE mogą być przesyłane wyłącznie w worku dyplomatycznym, za pośrednictwem bezpiecznych służb pocztowych lub zabezpieczonych systemów teleinformatycznych. Warunkiem powielenia takiego dokumentu jest uzyskanie pisemnej zgody instytucji, która go wytworzyła. Wszystkie kopie muszą zostać zarejestrowane i poddane kontroli obiegu. Wszystkie czynności związane z dokumentami o tej klauzuli są dokumentowane odpowiednimi potwierdzeniami.

b)

Do dokumentów o klauzuli na poziomie CONFIDENTIEL UE mogą mieć dostęp odpowiednio wyznaczeni urzędnicy, upoważnieni do dostępu do informacji na dany temat. Mogą być one przechowywane wyłącznie w zamykanych na klucz sejfach znajdujących się w strefach poddanych kontroli.

Informacje o klauzuli na poziomie CONFIDENTIEL UE są przesyłane w worku dyplomatycznym, za pośrednictwem poczty wojskowej lub zabezpieczonych systemów teleinformatycznych. Odbiorcy mogą wykonywać kopie, z zastrzeżeniem, że liczba kopii i ich dystrybucja są odnotowywane w specjalnych rejestrach.

c)

Dokumenty o klauzuli na poziomie RESTREINT UE mogą być wykorzystywane wyłącznie w pomieszczeniach niedostępnych dla osób nieupoważnionych i przechowywane w szafach lub innych meblach zamykanych na klucz. Dokumenty mogą być przesyłane za pośrednictwem ogólnodostępnych służb pocztowych jako przesyłki polecone; wymagane jest zapakowanie ich w dwie koperty. W sytuacjach nadzwyczajnych, w toku działań, dopuszczalne jest przesyłanie przez niezabezpieczone systemy teleinformatyczne. Odbiorcy mogą wykonywać kopie.

17.

Nieprzestrzeganie przepisów bezpieczeństwa

Gdy stwierdzono, że doszło do nieprzestrzegania przepisów bezpieczeństwa w odniesieniu do ochrony dokumentów o klauzuli na poziomie CONFIDENTIEL UE lub SECRET UE, lub istnieje takie podejrzenie, krajowa władza bezpieczeństwa lub szef bezpieczeństwa danej organizacji przeprowadza postępowanie wyjaśniające w celu ustalenia okoliczności zdarzenia. O wynikach postępowania obligatoryjnie informuje się Dyrekcję ds. Bezpieczeństwa Komisji. Niezbędne jest podjęcie koniecznych kroków w celu dokonania zmian w nieefektywnych procedurach lub sposobach przechowywania informacji, jeśli to one stały się przyczyną zdarzenia.

DODATEK 6

WYKAZ SKRÓTÓW

ACPC Komitet Doradczy do spraw Zakupów i Kontraktów

CrA władza CRYPTO

CISO główny inspektor bezpieczeństwa teleinformatycznego

COMPUSEC bezpieczeństwo komputerów

COMSEC bezpieczeństwo łączności

CSO Dyrekcja ds. Bezpieczeństwa Komisji

ESDP europejska polityka bezpieczeństwa i obrony

EUCI informacje klasyfikowane Unii Europejskiej

IA władza bezpieczeństwa teleinformatycznego

IO właściciel informacji

ISO Międzynarodowa Organizacja do spraw Standaryzacji

IT technologia teleinformatyczna

LISO lokalny inspektor bezpieczeństwa teleinformatycznego

LSO lokalny pełnomocnik ochrony

MSO pełnomocnik ochrony spotkania

NSA krajowa władza bezpieczeństwa

PC komputer osobisty

RCO urzędnik kontroli kancelarii

SAA władza akredytacji bezpieczeństwa

SecOP operacyjne procedury bezpieczeństwa

SSRS szczególne wymagania bezpieczeństwa systemu

TA władza TEMPEST

TSO właściciel systemów technicznych

DSA: wyznaczony organ bezpieczeństwa

FSC: świadectwo bezpieczeństwa przemysłowego

FSO: poświadczenia bezpieczeństwa osobowego

PSC: poświadczenie bezpieczeństwa pracowników

SAL: dokument określający aspekty bezpieczeństwa

SCG: przewodnik nadawania klauzul

ZAŁĄCZNIK 37 (uchylony).

ZAŁĄCZNIK 38

PRZEPISY W SPRAWIE ZARZĄDZANIA DOKUMENTAMI

Mając na uwadze, że:

Artykuł 1

Definicje

Do celów niniejszych przepisów:

Artykuł 2

Cel

Niniejsze przepisy określają zasady zarządzania dokumentami.

Zarządzanie dokumentami musi zapewniać:

Artykuł 4

Rejestracja

Zaraz po doręczeniu lub formalnym sporządzeniu dokumentu w ramach służby, bez względu na formę jego zapisu, podlega on analizie pod kątem określenia działań, które muszą być w stosunku do niego wykonane, oraz pod kątem konieczności jego zarejestrowania lub odstąpienia od tej czynności.

Dokument sporządzony lub otrzymany przez służbę Komisji musi zostać zarejestrowany, jeśli zawiera ważną informację, która nie ma krótkotrwałej wartości praktycznej lub może prowadzić do podjęcia czynności przez Komisję lub jedną z jej służb. Jeśli dokument został sporządzony wewnątrz Komisji, podlega on zarejestrowaniu przez służbę jego pochodzenia w ramach jej własnego systemu. Jeśli dokument został doręczony Komisji, podlega on rejestracji przez przyjmującą służbę. W trakcie dalszego przetwarzania dokumentów zarejestrowanych w ten sposób należy powoływać się na numer pierwotnej rejestracji.

Rejestracja musi umożliwiać wyraźna i pewną identyfikację dokumentów sporządzonych lub otrzymanych przez Komisję lub jedną z jej służb, tak aby można było prześledzić ich drogę w trakcie okresu ich użytkowania.

Prowadzone są rejestry zawierające odniesienia do dokumentów.

Artykuł 5

Umieszczanie w aktach

Dyrekcje generalne i równorzędne służby opracowują system katalogowania akt, dostosowany do ich specyficznych potrzeb.

System katalogowania akt, dostępny w drodze elektronicznej, powiązany jest ze wspólną nomenklaturą ustaloną przez Sekretariat Generalny dla wszystkich służb Komisji. Nomenklatura ta stanowi część aktywnego zarządzania Komisji.

Zarejestrowane dokumenty organizowane są w akta. Dla każdej sprawy mieszczącej się w zakresie kompetencji dyrekcji generalnej lub równorzędnej służby zakłada się pojedyncze urzędowe akta. Każde urzędowe akta muszą być kompletne oraz muszą odpowiadać działalności służby w odniesieniu do danej sprawy.

Za założenie akt i włączenie ich do systemu katalogowego akt dyrekcji generalnej lub równorzędnej służby odpowiedzialna jest służba właściwa dla działalności objętej aktami, zgodnie z praktycznymi uzgodnieniami dla poszczególnych dyrekcji generalnych lub równorzędnej służby.

Artykuł 6

Przechowywanie

Każda dyrekcja generalna lub równorzędna służba zapewnia fizyczną ochronę i krótko- oraz średnioterminowy dostęp do dokumentów, za które odpowiadają oraz musi być w stanie udostępnić lub odtworzyć akta, do których przynależą dokumenty.

Przepisy administracyjne oraz zobowiązania prawne wyznaczają minimalny okres przechowywania dokumentu.

Każda dyrekcja generalna lub równorzędna służba ustala swoją wewnętrzną strukturę organizacyjną dotyczącą przechowywania jej akt. Minimalny okres przechowywania w ramach służby uwzględnia wspólny dla całej Komisji wykaz sporządzony zgodnie z przepisami wykonawczymi określonymi w art. 12.

Artykuł 7

Ocena i przekazanie do archiwów historycznych

Bez uszczerbku dla minimalnego okresu przechowywania dokumentów określonego w art. 6, kancelaria(-e) określona(-e) w art. 9, dokonują w regularnych odstępach czasu i we współpracy ze służbami odpowiedzialnymi za akta, oceny dokumentów i akt, pod kątem możliwości ich przekazania do archiwów historycznych Komisji. Archiwa historyczne, po dokonaniu oceny propozycji, mogą odmówić przyjęcia dokumentów lub akt. Każda decyzja odmawiająca przyjęcia wymaga uzasadnienia oraz poinformowania o niej wnioskującej służby.

Akta lub dokumenty, w odniesieniu do których nie zachodzi potrzeba dalszego przechowywania przez służbę, przekazywane są nie później niż piętnaście lat od ich powstania przez kancelarie i pod nadzorem dyrektora generalnego do archiwów historycznych Komisji. Te akta lub dokumenty podlegają następnie ocenie zgodnie z zasadami ustanowionymi w przepisach wykonawczych określonych w art. 12, w celu oddzielenia dokumentów, które muszą być przechowywane, od tych które nie posiadają żadnej wartości administracyjnej lub historycznej.

Archiwa historyczne przechowują akta i dokumenty przekazane w niniejszym trybie w specjalnych magazynach. Archiwa historyczne udostępniają na wniosek dyrekcji generalnej lub służby dokumenty i akta z nich pochodzące.

Artykuł 10

Urzędnicy kancelaryjni

Każdy dyrektor generalny lub szef służby wyznacza urzędnika kancelaryjnego.

W celu ustanowienia nowoczesnego i skutecznego systemu zarządzania dokumentami i rejestrami, zadaniem urzędnika kancelaryjnego jest:

Urzędnik kancelaryjny zapewnia poziomą koordynację między kancelariami i innymi zainteresowanymi służbami.

Artykuł 11

Grupa międzywydziałowa

Ustanawia się międzywydziałową grupę urzędników kancelaryjnych. Przewodniczy jej Sekretariat Generalny, a do jej zadań należy:

Przewodniczący zwołuje posiedzenia grupy międzywydziałowej z własnej inicjatywy albo na wniosek dyrekcji generalnej lub równorzędnej służby.

Artykuł 12

Przepisy wykonawcze

Sekretarz generalny, działając na wniosek międzywydziałowej grupy urzędników kancelaryjnych i w porozumieniu z dyrektorem generalnym ds. personelu i administracji, przyjmuje i regularnie uaktualnia przepisy wykonawcze do niniejszych przepisów.

Uaktualnianie uwzględnia w szczególności:

Artykuł 14

Informacja, szkolenie i wsparcie

Sekretariat Generalny i Dyrekcja Generalna ds. Personelu i Administracji udostępniają niezbędne informacje, organizują szkolenia i środki wsparcia w celu zapewnienia wykonania i stosowania niniejszych przepisów w ramach dyrekcji generalnych i równorzędnych służb.

Określając środki szkoleniowe, biorą oni pod uwagę wymagania dyrekcji generalnych i równorzędnych służb odnośnie do szkolenia i wsparcia, przekazane przez międzywydziałową grupę urzędników kancelaryjnych.

ZAŁĄCZNIK 39

(skreślony)

ZAŁĄCZNIK 40

Przepisy Komisji dotyczące dokumentów elektronicznych i cyfrowych

Mając na uwadze, co następuje:

(2)

W nawiązaniu do Białej Księgi w sprawie reformy Komisji 41 , której działania 7, 8 i 9 dotyczą zapewnienia przejścia do "e-Komisji", a także w nawiązaniu do komunikatu "W stronę Komisji on-line": Strategia wdrożeniowa na okres 2001-2005 (Działania 7, 8 i 9 Białej Księgi w sprawie reformy) 42 , Komisja zintensyfikowała, w ramach swoich działań wewnętrznych i w kontaktach między wydziałami, rozwój systemów informatycznych pozwalających na zarządzanie dokumentami i procedurami za pomocą środków elektronicznych.

(3)

Decyzją 2002/47/WE, EWWiS, Euratom 43 Komisja załączyła do swojego regulaminu wewnętrznego przepisy dotyczące zarządzania dokumentami, mające zapewnić w szczególności zdolność Komisji, w każdym czasie, do dostarczania informacji w sprawach, za które jest rozliczana. W komunikacie o uproszczeniu i unowocześnieniu zarządzania dokumentami 44 Komisja postawiła sobie za cel średnioterminowy wprowadzenie elektronicznej archiwizacji dokumentów, opartej na zbiorze jednolitych zasad i procedur obowiązujących wszystkie jej służby.

(4)

Zarządzanie dokumentami musi spełniać zasady bezpieczeństwa obowiązujące Komisję, zwłaszcza w zakresie katalogowania dokumentów, zgodnie z decyzją Komisji (2001/844/WE, EWWiS, Euratom) 45 , ochrony systemów informatycznych, zgodnie z decyzją Komisji C(95) 1510, a także ochrony danych osobowych, zgodnie z rozporządzeniem (WE) nr 45/2001 Parlamentu Europejskiego i Rady 46 . Stąd też system dokumentacji Komisji musi być opracowany w taki sposób, aby zasilające go systemy informatyczne, sieci i środki transmisji były chronione z wykorzystaniem odpowiednich środków bezpieczeństwa.

Artykuł 2

Zakres stosowania

Niniejsze przepisy mają zastosowanie do dokumentów elektronicznych i cyfrowych sporządzonych lub otrzymywanych i będących w posiadaniu Komisji.

W drodze porozumienia przepisy te mogą mieć zastosowanie do dokumentów elektronicznych i cyfrowych będących w posiadaniu innych jednostek odpowiedzialnych za wdrażanie określonych polityk wspólnotowych lub do dokumentów wymienianych za pośrednictwem sieci teleinformatycznych między administracjami, do których włączona jest Komisja.

Artykuł 3

Definicje

Do celów niniejszych przepisów stosuje się następujące definicje:

Artykuł 4

Ważność dokumentów elektronicznych

2.

Gdy obowiązujący przepis wspólnotowy lub krajowy wymaga, aby dokument był sporządzony na piśmie, nie wymagając jednakże podpisanego oryginału, dokument elektroniczny sporządzony lub otrzymany przez Komisję spełnia ten wymóg, jeżeli można należycie zidentyfikować osobę, która wydała dokument, i jeżeli dokument sporządzony został w warunkach gwarantujących nienaruszalność jego treści i towarzyszących mu metadanych oraz przechowywany jest w warunkach określonych w art. 7.

Artykuł 5

Ważność procedur elektronicznych

Artykuł 6

Transmisja drogą elektroniczną

Artykuł 7

Przechowywanie

1.

Przechowywanie przez Komisję dokumentów elektronicznych i cyfrowych należy zapewnić przez cały wymagany okres, w następujących warunkach:

ZAŁĄCZNIK 49

PRZEPISY KOMISJI W SPRAWIE USTANOWIENIA OGÓLNEGO SYSTEMU SZYBKIEGO OSTRZEGANIA "ARGUS"

Mając na uwadze, co następuje:

(4)

Konieczne jest określenie odpowiedniej procedury koordynacji umożliwiającej podejmowanie decyzji oraz wprowadzanie przez Komisję szybkich, skoordynowanych i spójnych środków zaradczych w odpowiedzi na poważną sytuację kryzysową o charakterze wielosektorowym, przy jednoczesnym zachowaniu odpowiedniej elastyczności i możliwości przystosowania się do szczególnych potrzeb i konkretnych sytuacji kryzysowych oraz poszanowaniu istniejących instrumentów stosowanych w konkretnych sytuacjach kryzysowych.

Artykuł 1

System ARGUS

Artykuł 2

Sieć informacyjna ARGUS

2.

Podstawowymi członkami sieci są: Sekretariat Generalny, Dyrekcja Generalna ds. Komunikacji Społecznej wraz z biurem rzecznika prasowego, Dyrekcja Generalna ds. Środowiska, Dyrekcja Generalna ds. Zdrowia i Ochrony Konsumentów, Dyrekcja Generalna ds. Sprawiedliwości, Wolności i Bezpieczeństwa, Dyrekcja Generalna ds. Stosunków Zewnętrznych, Dyrekcja Generalna ds. Pomocy Humanitarnej, Dyrekcja Generalna ds. Personelu i Administracji, Dyrekcja Generalna ds. Handlu, Dyrekcja Generalna ds. Informatyki, Dyrekcja Generalna ds. Podatków i Unii Celnej, Wspólne Centrum Badawcze oraz Służba Prawna.

Artykuł 3

Procedura koordynacji w razie poważnej sytuacji kryzysowej

1.

W razie poważnej sytuacji kryzysowej o charakterze wielosektorowym lub też w obliczu przewidywanej bądź nieuchronnej groźby jej wystąpienia przewodniczący, działając z własnej inicjatywy po otrzymaniu informacji ostrzegawczej lub na wniosek członka Komisji, może zdecydować o uruchomieniu specjalnej procedury koordynacji. Przewodniczący podejmie również decyzję o przekazaniu odpowiedzialności politycznej za reakcję Komisji w sytuacji kryzysowej. Przewodniczący może przejąć odpowiedzialność na siebie lub przekazać ją jednemu z członków Komisji.

Artykuł 4

Komitet Koordynacji Kryzysowej

1.

Komitet Koordynacji Kryzysowej jest specjalną strukturą operacyjną zarządzania kryzysowego, utworzoną w celu kierowania środkami zaradczymi w sytuacji kryzysowej oraz ich koordynacji, skupiającą przedstawicieli wszystkich odpowiednich dyrekcji generalnych i służb. Zasadniczo w Komitecie Koordynacji Kryzysowej reprezentowane są dyrekcje generalne oraz służby wymienione w art. 2 ust. 2, a także dyrekcje i służby, których dana sytuacja kryzysowa dotyczy. Komitet Koordynacji Kryzysowej korzystał będzie z aktualnych zasobów i środków służb.

ZAŁĄCZNIK 50

Szczegółowe zasady stosowania rozporządzenia (WE) nr 1367/2006 Parlamentu Europejskiego i Rady w sprawie zastosowania postanowień Konwencji z Aarhus o dostępie do informacji, udziale społeczeństwa w podejmowaniu decyzji oraz dostępie do sprawiedliwości w sprawach dotyczących środowiska do instytucji i organów Wspólnoty

Artykuł 3

Wnioski o dokonanie przeglądu wewnętrznego

Wnioski o dokonanie przeglądu wewnętrznego aktów administracyjnych lub przypadków zaniechania administracyjnego należy wysyłać pocztą, faksem lub pocztą elektroniczną do departamentu odpowiedzialnego za stosowanie przepisu na podstawie którego przyjęto akt administracyjny lub w odniesieniu do którego wystąpił zarzut zaniechania administracyjnego.

Odpowiednie dane kontaktowe są udostępniane społeczeństwu za pomocą wszelkich stosownych środków.

Jeżeli wniosek został wysłany do innego departamentu niż departament odpowiedzialny za dokonanie przeglądu, departament ten przekazuje go odpowiedniemu departamentowi.

W każdym przypadku, jeżeli departament odpowiedzialny za dokonanie przeglądu nie należy do Dyrekcji Generalnej ds. Środowiska, departament ten informuje ją o otrzymaniu wniosku.

Artykuł 4

Decyzje dotyczące dopuszczalności wniosków o dokonanie przeglądu wewnętrznego

3.

Zgodnie z art. 14 regulaminu wewnętrznego kompetencje do podejmowania decyzji w sprawie dopuszczalności wniosku o dokonanie przeglądu wewnętrznego przekazuje się odpowiedniemu dyrektorowi generalnemu lub kierownikowi departamentu.

Decyzja w sprawie dopuszczalności wniosku obejmuje wszelkie decyzje dotyczące uprawnień wnioskodawcy będącego organizacją pozarządową zgodnie z ust. 2 niniejszego artykułu, terminowego złożenia wniosku zgodnie z art. 10 ust. 1 rozporządzenia (WE) nr 1367/2006 oraz wskazania i uzasadnienia powodów złożenia wniosku zgodnie z art. 1 ust. 2 i 3 decyzji 2008/50/WE.

Artykuł 5

Decyzje dotyczące treści wniosków o dokonanie przeglądu wewnętrznego

2.

Zgodnie z art. 13 regulaminu wewnętrznego członek Komisji odpowiedzialny za stosowanie przepisów, na podstawie których przyjęto dany akt administracyjny lub w odniesieniu do których wystąpił zarzut zaniechania administracyjnego, jest upoważniony do zadecydowania, że akt administracyjny, którego dotyczy wniosek o dokonanie przeglądu, lub zarzucane zaniechanie administracyjne nie stanowią naruszenia prawa ochrony środowiska.

Oddelegowanie uprawnień przyznanych na mocy ustępu pierwszego jest zabronione.

Artykuł 6

Środki odwoławcze

Wszystkie odpowiedzi informujące organizację pozarządową, że jej wniosek jest niedopuszczalny w całości lub w części, lub że akt administracyjny, którego dotyczy wniosek o dokonanie przeglądu, lub zarzucane zaniechanie administracyjne nie stanowią naruszenia prawa ochrony środowiska pouczają organizację pozarządową o dostępnych jej środkach odwoławczych, mianowicie o wszczęciu postępowania sądowego wobec Komisji lub złożeniu skargi u rzecznika praw obywatelskich, lub dokonaniu obu tych czynności, zgodnie z warunkami ustalonymi odpowiednio w art. 230 i 195 Traktatu WE.

Identyfikator:	Dz.U.UE.L.2000.308.26
Rodzaj:	Regulamin
Tytuł:	Regulamin Komisji.
Data aktu:	29/11/2000
Data ogłoszenia:	08/12/2000
Data wejścia w życie:	01/05/2004, 01/01/2001

	W imieniu Komisji
	Romano PRODI
	Przewodniczący

Regulamin Komisji.