Besluit 2013/488/EU beveiligingsvoorschriften bescherming gerubriceerde EU-informatie:bijlage III

Besluit 2013/488/EU beveiligingsvoorschriften bescherming gerubriceerde EU-informatie

Bijlage III Beheer van gerubriceerde informatie

Geldend

Deze functie is alleen te gebruiken als je bent ingelogd.Deze functie is alleen te gebruiken als je bent ingelogd.Deze functie is alleen te gebruiken als je bent ingelogd.Deze functie is alleen te gebruiken als je bent ingelogd.Deze functie is alleen te gebruiken als je bent ingelogd.

I. Inleiding

1

Deze bijlage bevat bepalingen ter uitvoering van artikel 9. Zij stelt de administratieve maatregelen vast voor het controleren van EUCI gedurende haar gehele levenscyclus teneinde het al dan niet opzettelijk compromitteren of verliezen van die informatie te helpen voorkomen en opsporen.

II. Rubriceringbeheer

Rubriceringen en markeringen

2

Informatie wordt gerubriceerd wanneer zij bescherming behoeft wat hun vertrouwelijkheid betreft.

3

De opsteller van EUCI is verantwoordelijk voor het bepalen van de rubriceringsgraad, overeenkomstig de desbetreffende rubriceringrichtlijnen, en voor de eerste verspreiding van de informatie.

4

De rubriceringsgraad van EUCI wordt vastgesteld overeenkomstig artikel 2, lid 2, en onder verwijzing naar het beveiligingsbeleid dat de Raad overeenkomstig artikel 3, lid 3, moet vaststellen.

5

De rubricering wordt duidelijk en correct aangegeven, ongeacht of de EUCI in papieren, mondelinge, elektronische of enige andere vorm bestaat.

6

Afzonderlijke delen van een bepaald document (zoals bladzijden, punten, afdelingen, bijlagen, aanhangsels, aanhechtsels en bijvoegsels) kunnen verschillende rubriceringen vereisen en worden dienovereenkomstig gemarkeerd, ook wanneer zij elektronisch worden opgeslagen.

7

De rubricering die voor het gehele document of bestand geldt, is minstens van dezelfde graad als die van het hoogst gerubriceerde gedeelte ervan. Wanneer informatie uit diverse bronnen worden verzameld, wordt voor het eindproduct in zijn geheel nagegaan welke rubriceringsgraad het moet krijgen, aangezien hiervoor een hogere rubricering vereist kan zijn dan voor de onderdelen ervan.

8

Voor zover mogelijk worden documenten die delen met verschillende rubriceringsgraden bevatten, zo gestructureerd dat de delen met een verschillende rubriceringsgraad gemakkelijk kunnen worden herkend en, indien nodig, worden gescheiden.

9

De rubricering van een brief of een nota die bijvoegsels vergezelt, is van dezelfde graad als het hoogst gerubriceerde bijvoegsel. De bron geeft door middel van een passende markering duidelijk aan welke rubricering op die brief of nota moet worden toegepast indien deze gescheiden wordt van de bijvoegsels, bijvoorbeeld:

CONFIDENTIEL UE/EU CONFIDENTIAL:

Zonder aanhechtsel(s) RESTREINT UE/EU RESTRICTED

Markeringen

10

Ter aanvulling van een van de rubriceringen als bedoeld in artikel 2, lid 2, kan EUCI voorzien zijn van aanvullende markeringen zoals:

a)

een identificatiemiddel om de bron aan te duiden;

b)

waarschuwingsmarkeringen, codewoorden of afkortingen waarmee het activiteitengebied waarop het document betrekking heeft, een speciale verspreiding op basis van noodzaak tot kennisname of beperkingen voor het gebruik worden aangegeven;

c)

markeringen inzake de geschiktheid voor vrijgave, of

d)

in voorkomend geval, de datum of de specifieke gebeurtenis waarna het document lager gerubriceerd of gederubriceerd kan worden.

Afgekorte rubriceringen

11

Gestandaardiseerde afgekorte rubriceringen kunnen worden gebruikt om de rubriceringsgraad van afzonderlijke delen van een tekst aan te geven. Afkortingen komen niet in de plaats van de volledige rubriceringen.

12

De volgende standaardafkortingen mogen in gerubriceerde EU-documenten worden gebruikt ter aanduiding van de rubriceringsgraad van afdelingen of onderdelen van tekst van minder dan één bladzijde:

TRÈS SECRET UE/EU TOP SECRET

TS-UE/EU-TS

SECRET UE/EU SECRET

S-UE/EU-S

CONFIDENTIEL UE/EU CONFIDENTIAL

C-UE/EU-C

RESTREINT UE/EU RESTRICTED

R-UE/EU-R

Het genereren van EUCI

13

Bij het genereren van een gerubriceerd EU-document:

a)

wordt op elke bladzijde duidelijk de rubriceringsgraad aangegeven;

b)

wordt elke bladzijde genummerd;

c)

wordt het document voorzien van een referentienummer en een onderwerp, dat op zich geen gerubriceerde informatie is, tenzij het als zodanig wordt gemarkeerd;

d)

wordt het document gedateerd, en

e)

worden documenten met rubricering SECRET EU/EU SECRET en hoger op elke bladzijde van een exemplaarnummer voorzien, indien zij in meerdere exemplaren moeten worden verspreid.

14

Als het niet mogelijk is punt 13 toe te passen op EUCI, worden andere passende maatregelen genomen overeenkomstig de krachtens artikel 6, lid 2, op te stellen beveiligingsrichtlijnen.

Lagere rubricering en derubricering van EUCI

15

Bij het genereren geeft de bron waar mogelijk, en in het bijzonder voor als RESTREINT UE/EU RESTRICTED gerubriceerde informatie, aan of de EUCI op een bepaalde datum of na een bepaalde gebeurtenis lager gerubriceerd of gederubriceerd kan worden.

16

Het SGR beziet regelmatig de EUCI waarover het beschikt opnieuw om na te gaan of de rubriceringsgraad nog steeds van toepassing is. Het SGR stelt een regeling in om de rubriceringsgraad van EUCI waarvan het de opsteller is, ten minste om de vijf jaar opnieuw te bezien. Deze controle is niet nodig wanneer de opsteller vanaf het begin heeft aangegeven dat de informatie automatisch lager gerubriceerd of gederubriceerd zullen worden en dat zij dienovereenkomstig gemarkeerd zijn.

III. Registratie van EUCI voor beveiligingsdoeleinden

17

Voor iedere organisatorische entiteit binnen het SGR en binnen de nationale overheden van de lidstaten die met EUCI werkt, wordt een verantwoordelijk register aangewezen dat moet garanderen dat EUCI overeenkomstig dit besluit wordt verwerkt. De registers worden ingericht als beveiligde zones zoals omschreven in bijlage II.

18

Voor de toepassing van dit besluit wordt onder registratie voor beveiligingsdoeleinden (hierna: ‘registratie’) verstaan: de toepassing van procedures waarbij de levenscyclus van materiaal, ook de verspreiding en de vernietiging ervan, wordt geregistreerd.

19

Alle materiaal met rubricering CONFIDENTIEL UE/EU CONFIDENTIAL en hoger wordt in speciaal daarvoor bestemde registers geregistreerd wanneer het bij een organisatorische overheid aankomt of deze entiteit verlaat.

20

Het centrale register binnen het SGR houdt aantekening van alle gerubriceerde informatie die door de Raad en het SGR worden vrijgegeven aan derde staten en internationale organisaties, en van alle gerubriceerde informatie die worden ontvangen van derde staten of internationale organisaties.

21

In het geval van een CIS kunnen de registratieprocedures worden doorlopen door middel van processen binnen het CIS zelf.

22

De Raad stelt een beveiligingsbeleid inzake de registratie van EUCI voor beveiligingsdoeleinden vast.

Registers voor TRÈS SECRET UE/EU TOP SECRET

23

Er wordt in de lidstaten en bij het SGR een register aangewezen dat optreedt als de centrale instantie voor het ontvangen en verzenden van informatie met rubricering TRÈS SECRET UE/EU TOP SECRET. In voorkomend geval kunnen subregisters worden aangewezen die zulke informatie voor registratiedoeleinden verwerken.

24

Deze subregisters mogen geen TRÈS SECRET UE/EU TOP SECRET-documenten rechtstreeks overdragen aan andere subregisters van hetzelfde centrale TRÈS SECRET UE/EU TOP SECRET-register, noch naar buiten toe overdragen, zonder uitdrukkelijke schriftelijke toestemming van dit centrale register.

IV. Kopiëren en vertalen van gerubriceerde EU-documenten

25

Documenten met rubricering TRÈS SECRET UE/EU TOP SECRET worden niet zonder voorafgaande schriftelijke toestemming van de bron gekopieerd of vertaald.

26

Indien de bron van documenten met rubricering SECRET UE/EU SECRET of lager geen waarschuwingsmarkeringen met betrekking tot het kopiëren of vertalen heeft aangebracht, kunnen deze documenten op instructie van de houder worden gekopieerd of vertaald.

27

De beveiligingsmaatregelen die voor het originele document gelden, zijn ook van toepassing op de kopieën en vertalingen ervan.

V. Vervoer van EUCI

28

Voor het vervoer van EUCI gelden de beschermende maatregelen van de punten 30 tot en met 41. Wanneer EUCI op elektronische dragers wordt vervoerd, kunnen onverminderd artikel 9, lid 4, onderstaande beschermende maatregelen worden aangevuld met passende technische tegenmaatregelen — die door de bevoegde beveiligingsinstantie worden voorgeschreven — om het risico op verlies of compromitteren zo klein mogelijk te maken.

29

De bevoegde beveiligingsinstantie in het SGR en in de lidstaten geven overeenkomstig dit besluit instructies over het vervoer van EUCI.

Binnen een gebouw of op zichzelf staande groep van gebouwen

30

EUCI die binnen een gebouw of een op zichzelf staande groep van gebouwen wordt vervoerd, wordt bedekt om te voorkomen dat de inhoud ervan wordt waargenomen.

31

Binnen een gebouw of een op zichzelf staande groep van gebouwen wordt informatie met rubricering TRÈS SECRET UE/EU TOP SECRET vervoerd in een beveiligde envelop met daarop alleen de naam van de geadresseerde.

Binnen de Europese Unie

32

EUCI die tussen gebouwen en locaties binnen de Europese Unie wordt vervoerd, wordt zodanig verpakt dat zij wordt beschermd tegen ongeoorloofde openbaarmaking.

33

Het vervoer van informatie met rubricering CONFIDENTIEL UE/EU CONFIDENTIAL of SECRET UE/EU SECRET binnen de Europese Unie geschiedt op de volgende wijze:

a)

per militaire koerier, overheidskoerier of diplomatieke koerier, naargelang het geval;

b)

in handbagage, op voorwaarde dat:

i)

de drager de EUCI niet uit handen geeft, tenzij zij wordt opgeslagen conform de voorschriften van bijlage II;

ii)

de EUCI niet onderweg wordt geopend of op openbare plaatsen gelezen;

iii)

de persoon geïnstrueerd wordt over zijn verantwoordelijkheden inzake de beveiliging, en

iv)

de persoon zo nodig een koerierspas krijgt;

c)

postdiensten of commerciële koeriersdiensten, op voorwaarde dat:

i)

zij door de desbetreffende NSA zijn goedgekeurd overeenkomstig de nationale wet- en regelgeving, en

ii)

zij adequate beschermingsmaatregelen toepassen overeenkomstig de minimumvoorschriften die moeten worden vastgelegd in de krachtens artikel 6, lid 2, op te stellen beveiligingsrichtlijnen.

Bij vervoer van een lidstaat naar een andere wordt het bepaalde onder c) beperkt tot informatie tot en met rubricering CONFIDENTIEL UE/EU CONFIDENTIAL.

34

Informatie met rubricering RESTREINT UE/EU RESTRICTED mag ook door postdiensten of commerciële koeriersdiensten worden vervoerd. Voor het vervoer van dergelijke informatie is geen koerierspas vereist.

35

Materiaal met rubricering CONFIDENTIEL UE/EU CONFIDENTIAL en SECRET UE/EU SECRET (bv. uitrustingen of onderdelen van machines) dat niet kan worden vervoerd met de in punt 33 bedoelde middelen, wordt overeenkomstig bijlage V als vracht vervoerd door commerciële vervoersondernemingen.

36

Het vervoer van informatie met rubricering TRÈS SECRET UE/EU TOP SECRET tussen gebouwen of locaties binnen de Europese Unie geschiedt per militaire koerier, overheidskoerier of diplomatieke koerier, naargelang het geval.

Vanuit de Europese Unie naar het grondgebied van een derde staat

37

EUCI die vanuit de Europese Unie naar het grondgebied van een derde staat wordt vervoerd, wordt zodanig verpakt dat zij wordt beschermd tegen ongeoorloofde openbaarmaking.

38

Het vervoer van informatie met rubricering CONFIDENTIEL UE/EU CONFIDENTIAL en SECRET UE/EU SECRET vanuit de Europese Unie naar het grondgebied van een derde staat geschiedt op één van de volgende wijzen:

a)

per militaire of diplomatieke koerier;

b)

in handbagage, op voorwaarde dat:

i)

het pakket een officieel zegel draagt of in een verpakking zit waarop is aangegeven dat het om een officiële zending gaat die niet aan een douane- of beveiligingscontrole dient te worden onderworpen;

ii)

de persoon een koerierspas bij zich heeft die het pakket identificeert en hem machtigt het te vervoeren;

iii)

de drager de EUCI niet uit handen geeft, tenzij zij wordt opgeslagen conform de voorschriften van bijlage II;

iv)

de EUCI niet onderweg wordt geopend of op openbare plaatsen gelezen, en

v)

de persoon geïnstrueerd wordt over zijn verantwoordelijkheden inzake de beveiliging.

39

Het vervoer van informatie met rubricering CONFIDENTIEL UE/EU CONFIDENTIAL en SECRET UE/EU SECRET die door de Europese Unie wordt vrijgegeven aan een derde staat of een internationale organisatie, moet in overeenstemming zijn met de desbetreffende bepalingen van een overeenkomst voor de beveiliging van informatie of een administratieve regeling overeenkomstig artikel 13, lid 2, onder a) en b).

40

Informatie met rubricering RESTREINT UE/EU RESTRICTED mag ook door postdiensten of commerciële koeriersdiensten worden vervoerd.

41

Het vervoer van informatie met rubricering TRÈS SECRET UE/EU TOP SECRET vanuit de Europese Unie naar het grondgebied van een derde staat geschiedt per militaire of diplomatieke koerier.

VI. Vernietiging van EUCI

42

Gerubriceerde EU-documenten die niet langer nodig zijn, mogen worden vernietigd onverminderd de geldende regels en voorschriften inzake archivering.

43

Documenten die volgens artikel 9, lid 2, moeten worden geregistreerd, worden door het verantwoordelijke register vernietigd op instructie van de houder of van een bevoegde instantie. De logboeken en andere informatie betreffende de registratie worden dienovereenkomstig bijgewerkt.

44

De vernietiging van documenten met rubricering SECRET UE/EU SECRET of TRÈS SECRET UE/EU TOP SECRET vindt plaats in het bijzijn van een getuige die gemachtigd is voor ten minste de rubriceringsgraad van het document dat wordt vernietigd.

45

Zowel de registrator als de getuige, als de aanwezigheid van deze laatste vereist is, ondertekenen een vernietigingscertificaat, dat wordt bewaard in het register. In het register worden vernietigingscertificaten van documenten met rubricering TRÈS SECRET UE/EU TOP SECRET gedurende minstens tien jaar en van documenten met rubriceringsgraad CONFIDENTIEL UE/EU CONFIDENTIAL en SECRET UE/EU SECRET gedurende minstens vijf jaar bewaard.

46

Om te voorkomen dat gerubriceerde documenten geheel of gedeeltelijk worden gereconstrueerd worden deze documenten, ook die met rubricering RESTREINT UE/EU RESTRICTED, vernietigd volgens methoden die voldoen aan EU-normen of gelijkwaardige normen, of methoden die door de lidstaten zijn goedgekeurd volgens nationale technische normen.

47

Vernietiging van voor EUCI gebruikte digitale opslagmedia geschiedt overeenkomstig punt 37 van bijlage IV.

48

In noodgevallen of indien er een imminent gevaar van openbaarmaking zonder machtiging is, wordt de EUCI door de houder derwijze vernietigd dat deze niet in haar geheel, noch ten dele kan worden gereconstrueerd. De bron en het register van oorsprong worden op de hoogte gebracht van de noodvernietiging van geregistreerde EUCI.

VII. Evaluatiebezoeken

49

De term ‘evaluatiebezoek’ wordt hierna gebruikt voor:

a)

iedere inspectie of evaluatiebezoek overeenkomstig artikel 9, lid 3, en artikel 16, lid 2, onder e), f) en g), of

b)

ieder evaluatiebezoek overeenkomstig artikel 13, lid 5,

ter evaluatie van de doeltreffendheid van de maatregelen ter bescherming van EUCI.

50

Evaluatiebezoeken moeten onder meer:

a)

waarborgen dat de in dit besluit neergelegde vereiste minimumnormen voor de bescherming van EUCI worden nageleefd;

b)

het belang benadrukken van beveiliging en doelmatig risicobeheer binnen de geïnspecteerde entiteiten;

c)

tegenmaatregelen aanbevelen om de specifieke gevolgen van de aantasting van de vertrouwelijkheid, integriteit of beschikbaarheid van gerubriceerde informatie te matigen, en

d)

de lopende opleidings- en bewustmakingsprogramma's die door de beveiligingsinstanties met betrekking tot beveiliging worden uitgevoerd, versterken.

51

Voor het eind van ieder kalenderjaar neemt de Raad het in artikel 16, lid 1, onder c), bedoelde programma van evaluatiebezoeken voor het volgende jaar aan. De concrete data van ieder evaluatiebezoek worden in overeenstemming met het EU-orgaan of de EU-instantie in kwestie, de betrokken lidstaat, de derde staat of de internationale organisatie in kwestie vastgesteld.

Uitvoering van evaluatiebezoeken

52

Er worden evaluatiebezoeken verricht om de desbetreffende regels, voorschriften en procedures in de bezochte entiteit te controleren en na te gaan of de werkwijzen van de entiteit stroken met de basisbeginselen en minimumnormen die zijn vastgelegd in dit besluit en in de bepalingen betreffende de uitwisseling van gerubriceerde informatie met die entiteit.

53

De evaluatiebezoeken verlopen in twee fasen. Voorafgaand aan het bezoek zelf wordt, zo nodig, een voorbereidende vergadering met de betrokken entiteit belegd. Na deze voorbereidende vergadering stelt het evaluatieteam in overleg met de betrokken entiteit een gedetailleerd programma van evaluatiebezoeken op dat alle aspecten van de beveiliging omvat. Het evaluatieteam dient toegang te hebben tot iedere locatie waar EUCI wordt verwerkt, en met name tot de registers en CIS-points of presence.

54

Evaluatiebezoeken bij de nationale overheden van de lidstaten en van derde staten en bij internationale organisaties worden uitgevoerd in volledige samenwerking met de functionarissen van de bezochte entiteit, derde staat of internationale organisatie.

55

Evaluatiebezoeken aan de EU-agentschappen, instanties en entiteiten die dit besluit of de beginselen daarvan toepassen, worden verricht met de bijstand van deskundigen van de NSA op het grondgebied waarvan het orgaan of de instantie is gevestigd.

56

Voor evaluatiebezoeken aan EU-organen, instanties en entiteiten die dit besluit of de beginselen daarvan toepassen, alsook aan derde staten en internationale organisaties, kunnen bijstand en bijdragen van NVI-deskundigen worden verlangd overeenkomstig de gedetailleerde regeling die door het Beveiligingscomité moet worden vastgesteld.

Verslagen

57

Aan het eind van het evaluatiebezoek worden de belangrijkste conclusies en aanbevelingen aan de bezochte entiteit voorgelegd. Vervolgens wordt er een verslag opgesteld van het evaluatiebezoek. Indien corrigerende maatregelen en aanbevelingen zijn voorgesteld, moet het verslag voldoende nadere informatie bevatten ter ondersteuning van de getrokken conclusies. Het verslag moet aan de bevoegde instantie van de bezochte entiteit worden toegezonden.

58

Ten aanzien van evaluatiebezoeken bij de nationale overheden van de lidstaten geldt onderstaande:

a)

het ontwerpevaluatieverslag wordt toegezonden aan de betrokken NSA, zodat kan worden nagegaan of het feitelijk correct is en het geen informatie bevat die hoger is gerubriceerd dan RESTREINT UE/EU RESTRICTED, en

b)

de evaluatieverslagen worden, tenzij de NSA van de betrokken lidstaat zich tegen een algemene verspreiding verzet, toegezonden aan het Beveiligingscomité. Het verslag krijgt de rubricering RESTREINT UE/EU RESTRICTED.

Onder de verantwoordelijkheid van de dienst Beveiliging van het SGR wordt op gezette tijden een verslag opgesteld met, voor een specifieke periode, de lessen die uit de evaluatiebezoeken in de lidstaten zijn getrokken en door het Beveiligingscomité zijn bestudeerd.

59

Het verslag van evaluatiebezoeken aan derde staten en internationale organisaties wordt toegezonden aan het Beveiligingscomité. Het verslag krijgt ten minste de rubricering RESTREINT UE/EU RESTRICTED. Alle corrigerende maatregelen worden tijdens een vervolgbezoek geverifieerd en aan het Beveiligingscomité gerapporteerd.

60

Van evaluatiebezoeken aan EU-organen, instanties en entiteiten die dit besluit of de beginselen daarvan toepassen, worden de verslagen van de evaluatiebezoeken aan het Beveiligingscomité toegezonden. Het ontwerpverslag van het evaluatiebezoek wordt toegezonden aan het betrokken orgaan of de betrokken instantie, zodat kan worden nagegaan of het inhoudelijk correct is en geen informatie bevat die hoger zijn gerubriceerd dan RESTREINT UE/EU RESTRICTED. Alle corrigerende maatregelen worden tijdens een vervolgbezoek geverifieerd en aan het Beveiligingscomité gerapporteerd.

61

De beveiligingsinstantie van het SGR verricht geregelde inspecties van organisatorische entiteiten in het SGR, en wel voor de in punt 50 beschreven doelen.

Controlelijst

62

De beveiligingsinstantie van het SGR (dienst Beveiliging) stelt een controlelijst op met de punten die tijdens een evaluatiebezoek moeten worden geverifieerd. Deze controlelijst wordt toegezonden aan het Beveiligingscomité.

63

De informatie ter aanvulling van de controlelijst wordt, in het bijzonder tijdens het bezoek verkregen bij de voor het beveiligingsbeheer bevoegde functionarissen van de entiteit die wordt geïnspecteerd. Zodra de controlelijst met de gedetailleerde antwoorden is aangevuld, wordt hij in overleg met de geïnspecteerde entiteit gerubriceerd. De lijst maakt geen deel uit van het inspectieverslag.

Deze functie is alleen te gebruiken als je bent ingelogd.