Besluit 2014/C 96/01 over de regels voor de behandeling van vertrouwelijke informatie door het Europees Parlement:bijlage II

Besluit 2014/C 96/01 over de regels voor de behandeling van vertrouwelijke informatie door het Europees Parlement

Bijlage II

Geldend

Documentgegevens:

Geldend vanaf 17-07-2024

Bronpublicatie:: 15-07-2024, PbEU C 2024, C/2024/4522 (uitgifte: 16-07-2024, regelingnummer: C/2024/4522)
Inwerkingtreding: 17-07-2024
Bronpublicatie inwerkingtreding:: 15-07-2024, PbEU C 2024, C/2024/4522 (uitgifte: 16-07-2024, regelingnummer: C/2024/4522)
Vakgebied(en): EU-recht / Bijzondere onderwerpen
Privacy / Algemeen
Bestuursrecht algemeen / Algemeen
EU-recht / Instituties

Inleiding

De volgende veiligheidsmededelingen betreffen de veilige behandeling en het veilige beheer van vertrouwelijke informatie bij het Europees Parlement. Samen met de instructies voor behandeling vormen die veiligheidsmededelingen het beheerssysteem voor informatieveiligheid (ISMS) als bedoeld in artikel 3, lid 2, van dit besluit.

VEILIGHEIDSMEDEDELING 1

Organisatie van de beveiliging in het Europees Parlement ter bescherming van vertrouwelijke informatie

VEILIGHEIDSMEDEDELING 2

Beheer van gerubriceerde informatie

VEILIGHEIDSMEDEDELING 3

De verwerking van vertrouwelijke informatie door middel van geautomatiseerde communicatie- en informatiesystemen (CIS)

VEILIGHEIDSMEDEDELING 4

Fysieke beveiliging

VEILIGHEIDSMEDEDELING 5

Industriële beveiliging

VEILIGHEIDSMEDEDELING 6

Inbreuk op de beveiliging, verlies of compromittering van gerubriceerde informatie

Veiligheidsmededeling 1. Organisatie van de beveiliging in het Europees Parlement ter bescherming van vertrouwelijke informatie

1

De secretaris-generaal is verantwoordelijk voor de algemene en consistente uitvoering van dit besluit.

De secretaris-generaal neemt de nodige maatregelen om ervoor te zorgen dat dit besluit bij de behandeling of opslag van vertrouwelijke informatie in de gebouwen van het Europees Parlement wordt toegepast door leden van het Europees Parlement, ambtenaren van het Europees Parlement, andere parlementaire medewerkers die in dienst van een fractie is en contractanten.

2

De secretaris-generaal is de veiligheidsinstantie (SA). In deze hoedanigheid is de secretaris-generaal verantwoordelijk voor de volgende taken:

2.1.: hij coördineert alle beveiligingskwesties in verband met de activiteiten van het Parlement wat de bescherming van vertrouwelijke informatie betreft;
2.2.: hij keurt de instelling van een beveiligde zone, beveiligde leeskamers en beveiligde apparatuur goed;
2.3.: hij past besluiten toe waarbij het Parlement krachtens artikel 6 van dit besluit wordt toegestaan gerubriceerde informatie aan derden toe te zenden;
2.4.: hij onderzoekt of gelast een onderzoek naar lekken van gerubriceerde informatie die zich op het eerste gezicht bij het Parlement hebben voorgedaan, in overleg met de Voorzitter van het Europees Parlement indien er een lid van het Europees Parlement bij betrokken is;
2.5.: hij onderhoudt nauwe contacten met de veiligheidsinstanties van andere instellingen van de Unie en met nationale veiligheidsinstanties in de lidstaten met het oog op een optimale coördinatie van het beveiligingsbeleid inzake gerubriceerde informatie;
2.6.: hij houdt het beleid en de procedures van het Parlement inzake beveiliging voortdurend in het oog en doet naar aanleiding daarvan passende aanbevelingen;
2.7.: hij brengt verslag uit aan de nationale veiligheidsinstantie (NSA) die het veiligheidsonderzoek overeenkomstig bijlage I, deel 2, punt 11.3, heeft uitgevoerd indien er negatieve informatie bekend wordt die voor die instantie van belang is.

3

Indien er een lid van het Europees Parlement betrokken is, oefent de secretaris-generaal zijn verantwoordelijkheden uit in nauw overleg met de Voorzitter van het Europees Parlement;

4

Bij de uitoefening van zijn verantwoordelijkheden krachtens de leden 2 en 3 wordt de secretaris-generaal bijgestaan door de adjunct-secretaris-generaal, het directoraat Veiligheid en risicobeoordeling, het directoraat Informatietechnologie (DIT) en de afdeling Gerubriceerde gegevens (CIU).

4.1.

Het directoraat Veiligheid en risicobeoordeling is verantwoordelijk voor persoonlijke beschermingsmaatregelen en met name voor de veiligheidsmachtigingsprocedure als bedoeld in bijlage I, deel 2. Het directoraat Veiligheid en risicobeoordeling vervult ook de volgende taken:

a): het is het contactpunt voor de veiligheidsinstanties van de andere instellingen van de Unie en voor de nationale veiligheidsinstanties bij kwesties in verband met de veiligheidsmachtigingsprocedures voor leden van het Europees Parlement, ambtenaren van het Europees Parlement en andere parlementaire medewerkers die in dienst van een fractie zijn;
b): het geeft de nodige algemene veiligheidsbriefing over de verplichting om gerubriceerde informatie te beschermen en de gevolgen van niet-nakoming van die verplichting;
c): het houdt toezicht op het fungeren van de beveiligde zone en de beveiligde leeskamers in de gebouwen van het Parlement, zo nodig in samenwerking met de veiligheidsdiensten van andere instellingen de Unie en van de NSA's;
d): het controleert, in samenwerking met de veiligheidsinstanties van andere instellingen van de Unie en de NSA's, de procedures voor het beheer en de opslag van gerubriceerde informatie, de beveiligde zone en de beveiligde leeskamers in de gebouwen van het Parlement waar gerubriceerde informatie wordt verwerkt;
e): het stelt de passende instructies voor behandeling voor aan de secretaris-generaal;

4.2.

Het DIT is verantwoordelijk voor de verwerking bij het Europees Parlement van vertrouwelijke informatie met beveiligde IT-systemen.

4.3.

De CIU is verantwoordelijk voor:

a): het identificeren van de beveiligingsbehoeften voor de doeltreffende bescherming van vertrouwelijke informatie, in nauwe samenwerking met het Directoraat Veiligheid en risicobeoordeling en het DIT en met de veiligheidsinstanties van de andere instellingen van de Unie;
b): het identificeren van alle aspecten van het beheer en de opslag van vertrouwelijke informatie binnen het Parlement, zoals vastgesteld in de instructies voor behandeling;
c): de werking van de beveiligde zone;
d): het beheer of de raadpleging van vertrouwelijke informatie in de beveiligde zone of in de beveiligde leeskamer van de CIU overeenkomstig artikel 7, leden 2 en 3, van dit besluit;
e): het beheer van het register van de CIU;
f): het rapporteren bij de veiligheidsinstantie van bewezen of vermoedelijke veiligheidsinbreuken of verlies of compromittering van vertrouwelijke informatie die bij de CIU is gedeponeerd en in de beveiligde zone of in de beveiligde leeskamer van de CIU wordt bewaard.

5

Voorts stelt de secretaris-generaal in zijn hoedanigheid van veiligheidsinstantie de volgende instanties aan:

a): een instantie voor beveiligingshomologatie (SAA);
b): een operationele instantie voor IA (IAOA);
c): een instantie voor cryptodistributie (CDA);
d): een Tempest-instantie (TA);
e): een instantie voor IA (IAA).

De uitoefening van die functies vereist geen afzonderlijke organisatorische entiteiten. Zij hebben afzonderlijke mandaten. Deze functies en de ermee samengaande verantwoordelijkheden kunnen echter in één organisatorische entiteit worden ondergebracht of geïntegreerd dan wel in meerdere organisatorische entiteiten worden gesplitst, mits belangenconflicten en dubbel werk worden voorkomen.

6

De SAA brengt over alle beveiligingskwesties met betrekking tot de homologatie van elk IT-systeem en -netwerk in het Parlement advies uit door:

6.1.: erop toe te zien dat de CIS het toepasselijke beveiligingsbeleid en de beveiligingsrichtlijnen naleven, door het afgeven van een goedkeuringsverklaring voor de behandeling van gerubriceerde informatie door de CIS tot een bepaald rubriceringniveau in zijn operationele omgeving, met de voorwaarden voor de homologatie, en de criteria volgens welke hergoedkeuring nodig is;
6.2.: een procedure voor veiligheidshomologatie vast te stellen overeenkomstig het desbetreffende beleid, met duidelijke goedkeuringsvoorwaarden voor de CIS die onder haar gezag staan;
6.3.: een strategie voor veiligheidshomologatie op te stellen waarin de mate van gedetailleerdheid voor de homologatie wordt aangegeven, afhankelijk van het vereiste niveau van ‘assurance’;
6.4.: documentatie over beveiliging te bestuderen en goed te keuren, inclusief risicobeheer en verklaringen over resterende risico's, documenten ter staving van de beveiligingsimplementatie en operationele beveiligingsprocedures, en ervoor te zorgen dat die documentatie strookt met de regels en het beleid van het Parlement inzake beveiliging;
6.5.: de implementatie van beveiligingsmaatregelen met betrekking tot de CIS te controleren door beveiligingsbeoordelingen, -inspecties of -toetsingen uit te voeren of te steunen;
6.6.: beveiligingseisen (bijvoorbeeld machtigingsgraad van het personeel) voor gevoelige posten in verband met de CIS vast te stellen;
6.7.: de interconnectie van een bepaald CIS met andere CIS goed te keuren of deel te nemen aan de gezamenlijke goedkeuring daarvan;
6.8.: de beveiligingsnormen van overwogen technische apparatuur voor de veilige behandeling en de bescherming van gerubriceerde informatie goed te keuren;
6.9.: erop toe te zien dat de encryptieproducten die bij het Europees Parlement worden gebruikt, op de lijst van door de Unie goedgekeurde producten staan; en
6.10.: met de provider van het systeem, de beveiligingsmedewerkers en vertegenwoordigers van de gebruikers overleg te plegen over veiligheidsrisicobeheer, in het bijzonder het resterende risico, en de voorwaarden voor de goedkeuringsverklaring.

7

De IAOA is verantwoordelijk voor:

7.1.: het ontwikkelen van beveiligingsdocumentatie die strookt met het beveiligingsbeleid en de beveiligingsrichtlijnen, waaronder met name de verklaring inzake het resterend risico, de operationele beveiligingsprocedures en het encryptieplan in de CIS-homologatieprocedure;
7.2.: het deelnemen aan de selectie en het testen van de systeemspecifieke maatregelen, apparatuur en software voor de technische beveiliging, teneinde toezicht te houden op de implementatie ervan en ervoor te zorgen dat deze veilig worden geïnstalleerd, geconfigureerd en onderhouden overeenkomstig de toepasselijke beveiligingsdocumentatie;
7.3.: het toezien op de uitvoering en toepassing van de operationele beveiligingsprocedures en, in voorkomend geval, het overdragen van operationele verantwoordelijkheden voor beveiliging aan de eigenaar van het systeem, namelijk de CIU;
7.4.: het beheer van en het werken met encryptieproducten, de bewaring van versleutelde en gecontroleerde informatie en, indien nodig, het genereren van cryptografische variabelen;
7.5.: het uitvoeren van evaluaties en tests van veiligheidsanalysen, in het bijzonder teneinde de door de SAA verlangde risicoverslagen op te stellen;
7.6.: het aanbieden van CIS-specifieke opleidingen over IA;
7.7.: het implementeren en toepassen van CIS-specifieke beveiligingsmaatregelen.

8

De CDA is verantwoordelijk voor:

8.1.: het beheer van en de verantwoording voor encryptiemateriaal van de EU;
8.2.: het toezicht, in nauwe samenwerking met de SAA, op de naleving van passende procedures en de opstelling van plannen voor verslaglegging over en veilige behandeling, opslag en verspreiding van al het encryptiemateriaal van de EU; en
8.3.: de overdracht van encryptiemateriaal van de EU aan of van personen of diensten die er gebruik van maken.

9

De TA ziet erop toe dat de CIS het beleid en de instructies voor behandeling van Tempest in acht nemen. Zij keurt tegenmaatregelen van Tempest voor installaties en producten goed voor de bescherming van gerubriceerde informatie tot een bepaald rubriceringniveau in haar operationele omgeving.

10

De IAA is verantwoordelijk voor alle aspecten van het beheer en de behandeling van vertrouwelijke informatie in het Parlement en met name voor:

10.1.: het ontwikkelen van beveiliging en beveiligingsrichtlijnen inzake IA en het toezien op de doeltreffendheid en pertinentie ervan;
10.2.: het beschermen en beheren van technische informatie over encryptieproducten;
10.3.: het garanderen dat de maatregelen inzake IA die zijn geselecteerd voor de bescherming van gerubriceerde informatie, voldoen aan het beleid inzake de geschiktheid en selectie van die maatregelen;
10.4.: het garanderen dat encryptieproducten worden geselecteerd overeenkomstig het beleid inzake de geschiktheid en selectie ervan;
10.5.: het overleg met de provider van het systeem, de beveiligingsmedewerkers en de vertegenwoordigers van gebruikers over beveiliging inzake IA.

Veiligheidsmededeling 2. Beheer van gerubriceerde informatie

A. Inleiding

1

Deze veiligheidsmededeling bevat de voorschriften voor het beheer van vertrouwelijke informatie door het Parlement.

2

Wanneer hij vertrouwelijke informatie genereert, beoordeelt de opsteller het vertrouwelijkheidsniveau en beslist hij op basis van de in deze veiligheidsmededeling vermelde beginselen over de rubricering of markering van die informatie.

B. Euci-rubricering

3

Het besluit om een document te rubriceren, moet worden genomen voordat het document wordt opgesteld. Als informatie als EUCI wordt gerubriceerd, houdt dit in dat vooraf is beoordeeld hoe vertrouwelijk deze is en dat de opsteller ervan heeft besloten dat de ongeoorloofde openbaarmaking van deze informatie de belangen van de Europese Unie of van een of meer lidstaten of personen in meerdere of mindere mate zou kunnen schaden.

4

Als eenmaal is besloten de informatie te rubriceren, volgt een tweede beoordeling om het passende rubriceringsniveau te bepalen. Het rubriceringsniveau van een document wordt bepaald naar gelang van het niveau van gevoeligheid van de inhoud.

5

De verantwoordelijkheid voor het rubriceren van informatie berust uitsluitend bij de opsteller. Ambtenaren van het Parlement rubriceren informatie op instructie van of volgens een delegatie van de secretaris-generaal.

6

Met rubricering moet op een correcte en zuinige wijze worden omgesprongen. De opsteller van een te rubriceren document moet weerstand bieden aan elke neiging om het document te hoog of te laag te rubriceren.

7

Het rubriceringsniveau dat de informatie krijgt, bepaalt de mate van bescherming die eraan wordt verleend op het vlak van persoonsgerelateerde beveiliging, fysieke beveiliging, procedurele beveiliging en IA.

8

Informatie die aanleiding geeft tot rubricering moet als zodanig worden gemarkeerd en verwerkt, ongeacht de fysieke vorm ervan. De rubricering ervan moet duidelijk aan de ontvangers kenbaar worden gemaakt, in de vorm van een rubriceringsmarkering (als de informatie in geschreven vorm wordt verstrekt, op papier of binnen een CIS) of een mededeling (als de informatie mondeling wordt verstrekt, tijdens een gesprek of een vergadering achter gesloten deuren). Gerubriceerd materiaal moet fysiek worden gemarkeerd zodat het rubriceringsniveau duidelijk zichtbaar is.

9

EUCI in elektronische vorm mag alleen binnen een geaccrediteerd CIS worden gecreëerd. De gerubriceerde informatie zelf alsmede de bestandsnaam en het opslagmedium (indien dit extern is, bijvoorbeeld cd-rom's of USB-sticks) moeten altijd een rubriceringsmarkering hebben die overeenkomt met het rubriceringsniveau ervan.

10

Informatie moet worden gerubriceerd zodra zij vorm krijgt. Persoonlijke aantekeningen, kladteksten of e-mails waarin informatie staat die aanleiding geeft tot rubricering moeten direct als EUCI worden gemarkeerd en worden geproduceerd en verwerkt overeenkomstig de fysieke en technische eisen van de instructies voor behandeling. Deze informatie kan later de vorm aannemen van een officieel document dat eveneens op passende wijze zal worden gemarkeerd en verwerkt. Het is mogelijk dat een officieel document tijdens het redactieproces opnieuw moet worden beoordeeld en, naarmate het evolueert, een hogere of lagere rubricering moet krijgen.

11

De opsteller kan besluiten een standaardrubriceringsniveau toe te kennen aan categorieën informatie die hij regelmatig genereert. De opsteller moet er echter wel voor zorgen dat hij daarbij niet stelselmatig afzonderlijke delen informatie te hoog of te laag rubriceert.

12

EUCI moet altijd een rubriceringsmarkering hebben die overeenkomt met het rubriceringsniveau ervan.

B.1. Rubriceringsniveaus

13

Voor EUCI worden de volgende rubriceringen gehanteerd:

—

‘TRÈS SECRET UE/EU TOP SECRET’, als gedefinieerd in artikel 2, onder d), van dit besluit, als de compromittering ervan waarschijnlijk:

a): een rechtstreekse bedreiging zou vormen voor de interne stabiliteit van de Unie of een of meer van haar lidstaten, derde staten of internationale organisaties;
b): uitzonderlijk ernstige schade zou toebrengen aan de betrekkingen met derde staten of internationale organisaties;
c): rechtstreeks zou leiden tot grote aantallen dodelijke slachtoffers;
d): uitzonderlijk ernstige schade zou toebrengen aan de operationele doeltreffendheid of veiligheid van het ingezette personeel van de lidstaten of van andere contribuenten of aan de continue doeltreffendheid van uiterst waardevolle veiligheids- of inlichtingenoperaties; of
e): voor langere termijn ernstige schade zou toebrengen aan de economie van de Unie of haar lidstaten;

—

‘SECRET UE/EU SECRET’, als gedefinieerd in artikel 2, onder d), van dit besluit, als de compromittering ervan waarschijnlijk:

a): aanzienlijke internationale spanningen zou doen ontstaan;
b): ernstige schade zou toebrengen aan de betrekkingen met derde staten en internationale organisaties;
c): rechtstreeks levensgevaar of ernstige schade aan de openbare orde of de individuele veiligheid of vrijheid zou veroorzaken;
d): belangrijke handels- of beleidsonderhandelingen zou schaden, met aanzienlijke operationele problemen voor de Unie of de lidstaten als gevolg;
e): ernstige schade zou toebrengen aan de operationele veiligheid van de lidstaten of aan de doeltreffendheid van uiterst waardevolle veiligheids- of inlichtingenoperaties;
f): wezenlijke materiële schade zou berokkenen aan de financiële, monetaire, economische en handelsbelangen van de Unie of een lidstaat;
g): de financiële levensvatbaarheid van belangrijke organisaties of bedrijven wezenlijk zou ondermijnen; of
h): de ontwikkeling of werking van beleidsvormen van de Unie ernstig zou hinderen, met grote economische, handels- of financiële gevolgen;

—

‘CONFIDENTIEL UE/EU CONFIDENTIAL’, als gedefinieerd in artikel 2, onder d), van dit besluit, als de compromittering ervan waarschijnlijk:

a): de diplomatieke betrekkingen aanzienlijke schade zou berokkenen, bv. wanneer dit tot officieel protest of andere sancties zou leiden;
b): een gevaar zou vormen voor de veiligheid of vrijheid van het individu;
c): de uitkomst van handels- of beleidsonderhandelingen ernstig in gevaar zou brengen, met operationele problemen voor de Unie of een of meer lidstaten als gevolg;
d): schade zou toebrengen aan de operationele veiligheid van een of meer lidstaten of aan de doeltreffendheid van veiligheids- of inlichtingenoperaties;
e): de financiële levensvatbaarheid van belangrijke organisaties of bedrijven wezenlijk zou ondermijnen;
f): het onderzoek naar misdrijven of terroristische activiteiten zou verhinderen of het begaan ervan zou vergemakkelijken;
g): wezenlijk zou indruisen tegen de financiële, monetaire, economische en handelsbelangen van de Unie of de lidstaten; of
h): de ontwikkeling of werking van beleidsvormen van de Unie ernstig zou hinderen, met grote economische, handels- of financiële gevolgen;

—

‘RESTREINT UE/EU RESTRICTED’, als gedefinieerd in artikel 2, onder d), van dit besluit, als de compromittering ervan waarschijnlijk:

a): nadelig zou zijn voor de algemene belangen van de EU;
b): de diplomatieke betrekkingen nadelig zou beïnvloeden;
c): aanzienlijk leed zou berokkenen aan personen of bedrijven;
d): nadelig zou zijn voor de Unie of de lidstaten bij handels- of beleidsonderhandelingen;
e): het moeilijker zou maken de veiligheid in de Unie of de lidstaten effectief te handhaven;
f): de effectieve ontwikkeling of werking van beleid van de Unie zou hinderen;
g): het goede beheer van de Unie en haar operaties zou ondermijnen;
h): inbreuk zou maken op verbintenissen van het Parlement om de gerubriceerde status van door derde partijen verstrekte gegevens te handhaven;
i): inbreuk zou maken op statutaire beperkingen op de openbaarmaking van informatie;
j): tot financiële verliezen zou leiden of oneigenlijke winsten of voordelen in de hand zou werken voor personen of ondernemingen; of
k): het onderzoek naar misdrijven zou schaden of het begaan ervan zou vergemakkelijken.

B.2. Rubricering van compilaties, dekbladen en uittreksels

14

De rubricering van een brief of nota die bijvoegsels bevat, is even hoog als die van het hoogst gerubriceerde bijvoegsel. De opsteller moet duidelijk aangeven welke rubricering op de brief of nota moet worden toegepast indien deze van de bijvoegsels wordt gescheiden. Als een nota of brief niet gerubriceerd hoeft te worden, wordt aan het einde ervan het volgende vermeld: ‘Indien deze nota/brief van de bijvoegsels gescheiden wordt, is hij niet gerubriceerd’.

15

Indien mogelijk worden documenten of bestanden met verschillende rubriceringsniveaus dusdanig gestructureerd dat de onderdelen met een verschillend rubriceringsniveau gemakkelijk kunnen worden herkend en, indien nodig, worden afgescheiden. De rubricering die voor het gehele document of bestand geldt, is minstens van hetzelfde niveau als die van het hoogst gerubriceerde gedeelte ervan.

16

Afzonderlijke bladzijden, punten, afdelingen, bijlagen, aanhangsels, aanhechtsels en bijvoegsels van een bepaald document kunnen verschillende rubriceringen vereisen en moeten dienovereenkomstig gemarkeerd worden. In documenten die EUCI bevatten, mogen standaardafkortingen worden gebruikt ter aanduiding van het rubriceringsniveau van afdelingen of onderdelen van tekst van minder dan één bladzijde.

17

Wanneer informatie van diverse herkomst wordt verzameld, wordt voor het eindproduct in zijn geheel nagegaan welk rubriceringsniveau het moet krijgen, aangezien hiervoor een hogere rubricering vereist kan zijn dan voor de onderdelen ervan.

C. Andere vertrouwelijke informatie

18

‘Andere vertrouwelijke informatie’ wordt gemarkeerd overeenkomstig punt E van deze veiligheidsmededeling en de instructies voor behandeling.

D. Het genereren van vertrouwelijke informatie

19

Alleen personen die daartoe krachtens dit besluit bevoegd zijn of die daartoe door de SA zijn gemachtigd, mogen vertrouwelijke informatie genereren.

20

Vertrouwelijke informatie mag niet in documentenbeheersystemen voor internet of intranet worden opgenomen.

D.1. Het genereren van EUCI

21

Om EUCI te genereren die als ‘CONFIDENTIEL UE/EU CONFIDENTIAL’, ‘SECRET UE/EU SECRET’ of ‘TRÈS SECRET UE/EU TOP SECRET’ is gerubriceerd, moet de betrokkene daartoe krachtens dit besluit bevoegd zijn of daartoe vooraf in het bezit zijn van een machtiging uit hoofde van artikel 4, lid 1, van dit besluit.

22

EUCI die als ‘CONFIDENTIEL UE/EU CONFIDENTIAL’, ‘SECRET UE/EU SECRET’ of ‘TRÈS SECRET UE/EU TOP SECRET’ is gerubriceerd, mag alleen binnen de beveiligde zone worden gegenereerd.

23

Op het genereren van EUCI zijn de volgende regels van toepassing:

a): op elke bladzijde wordt duidelijk het toepasselijke rubriceringsniveau aangegeven;
b): elke bladzijde wordt genummerd, met vermelding van het totale aantal bladzijden;
c): het document wordt voorzien van een referentienummer op de eerste bladzijde en een vermelding van het onderwerp, dat op zich geen gerubriceerde informatie mag zijn, tenzij het als zodanig wordt aangehecht;
d): op de eerste bladzijde van het document wordt een datum vermeld;
e): de eerste bladzijde van een document dat als ‘CONFIDENTIEL UE/EU CONFIDENTIAL’, ‘SECRET UE/EU SECRET’ of ‘TRÈS SECRET UE/EU TOP SECRET’ is gerubriceerd, bevat een lijst van alle bijlagen en bijvoegsels;
f): documenten die als ‘CONFIDENTIEL UE/EU CONFIDENTIAL’, ‘SECRET UE/EU SECRET’ of ‘TRÈS SECRET UE/EU TOP SECRET’ zijn gerubriceerd, zijn op elke bladzijde van een exemplaarnummer voorzien indien zij in meerdere exemplaren moeten worden verspreid. Op de eerste bladzijde van elk exemplaar wordt ook het totale aantal exemplaren en bladzijden vermeld; en
g): als in het document wordt verwezen naar andere documenten die van andere instellingen van de Unie ontvangen gerubriceerde informatie bevatten, of als het gerubriceerde informatie bevat die uit dergelijke documenten afkomstig is, krijgt het hetzelfde rubriceringsniveau als die documenten en mag het zonder voorafgaande schriftelijke toestemming van de opsteller niet worden verspreid onder andere personen dan de personen die zijn vermeld in de distributielijst van het (de) oorspronkelijke document (documenten) dat (die) gerubriceerde informatie bevat(ten).

24

De opsteller behoudt de controle over de door hem gegenereerde EUCI. Hij moet vooraf om schriftelijke toestemming worden verzocht voordat EUCI:

a): een lagere rubricering krijgt of wordt gederubriceerd;
b): voor andere dan de door de opsteller vastgestelde doeleinden wordt gebruikt;
c): wordt bekendgemaakt aan een derde staat of internationale organisatie;
d): wordt bekendgemaakt aan een andere persoon, instelling, land of internationale organisatie dan de geadresseerden die van de opsteller toestemming hebben gekregen om de desbetreffende informatie te raadplegen;
e): wordt bekendgemaakt aan een contractant of mogelijke contractant in een derde staat;
f): wordt gekopieerd of vertaald, indien de informatie gerubriceerd is als ‘TRES SECRET UE/EU TOP SECRET’;
g): wordt vernietigd.

D.2. Het genereren van andere vertrouwelijke informatie

25

De secretaris-generaal kan in zijn hoedanigheid van veiligheidsinstantie beslissen om een bepaalde functie, dienst en/of persoon al dan niet te machtigen om ‘andere vertrouwelijke informatie’ te genereren.

26

Op ‘andere vertrouwelijke informatie’ wordt een van de in de instructies voor behandeling gedefinieerde markeringen aangebracht.

27

Op het genereren van ‘andere vertrouwelijke informatie’ zijn de volgende regels van toepassing:

a): de markering wordt bovenaan de eerste bladzijde van het document aangebracht;
b): elke bladzijde wordt genummerd, met vermelding van het totale aantal bladzijden;
c): het document wordt voorzien van een referentienummer op de eerste bladzijde en een vermelding van het onderwerp;
d): op de eerste bladzijde van het document wordt een datum vermeld;
e): de laatste bladzijde van het document bevat een lijst van alle bijlagen en bijvoegsels.

28

Voor het genereren van ‘andere vertrouwelijke informatie’ gelden specifieke regels en procedures die in de instructies voor behandeling zijn vastgesteld.

E. Beveiligingsindicatoren en markeringen

29

Beveiligingsindicatoren en markeringen in documenten zijn bedoeld om de informatiestroom in goede banen te leiden en de toegang tot vertrouwelijke informatie te beperken op basis van het ‘need to know’-beginsel.

30

Wanneer beveiligingsindicatoren en markeringen worden gebruikt of toegevoegd, moet erop worden gelet geen verwarring te creëren met de EUCI-rubricering, namelijk ‘RESTREINT UE/EU RESTRICTED’, ‘CONFIDENTIEL UE/EU CONFIDENTIAL’, ‘SECRET UE/EU SECRET’ en ‘TRES SECRET UE/EU TOP SECRET’.

31

Specifieke regels voor het gebruik van beveiligingsindicatoren en markeringen, alsook de lijst van goedgekeurde beveiligingsmarkeringen van het Europees Parlement, worden vastgesteld in de instructies voor behandeling.

E.1. Beveiligingsindicatoren

32

Beveiligingsindicatoren mogen alleen worden gebruikt in combinatie met een rubricering en mogen niet afzonderlijk in documenten worden aangebracht. Op EUCI kan een beveiligingsindicator worden toegepast om:

a): de geldigheidsduur van een rubricering te beperken (wat voor gerubriceerde informatie inhoudt dat zij automatisch lager wordt gerubriceerd of wordt gederubriceerd);
b): de verspreiding van de EUCI in kwestie te beperken;
c): een speciale regeling voor behandeling vast te stellen ter aanvulling van die op grond van het rubriceringsniveau.

33

De extra controles op de behandeling en opslag van documenten die EUCI bevatten, brengen voor alle betrokkenen extra lasten met zich. Om de daarmee samenhangende werklast zoveel mogelijk te beperken, is het good practice om bij het genereren van een dergelijk document een geldigheidsduur of tijdstip vast te stellen waarna de rubricering automatisch verstrijkt en de informatie in het document wordt gerubriceerd of wordt gederubriceerd.

34

Wanneer een document een specifiek werkgebied betreft en de verspreiding ervan moet worden beperkt en/of aan speciale regelingen voor behandeling moet worden onderworpen, kan daartoe een verklaring aan de rubricering worden toegevoegd zodat het doelpubliek duidelijk wordt.

E.2. Markeringen

35

Markeringen zijn geen rubricering. Zij dienen slechts om concrete instructies voor de behandeling van een document te geven en mogen niet worden gebruikt om de inhoud van een dergelijk document te beschrijven.

36

Markeringen kunnen afzonderlijk in documenten worden aangebracht of in combinatie met een rubricering worden gebruikt.

37

In de regel worden markeringen gebruikt voor informatie die onder de in artikel 339 VWEU en artikel 17 van het Statuut bedoelde geheimhoudingsplicht valt of die om juridische redenen door het Parlement moet worden beschermd, maar die niet hoeft of kan worden gerubriceerd.

E.3. Gebruik van markeringen in het CIS

38

De regels voor het gebruik van markeringen zijn ook van toepassing in het gehomologeerde CIS.

39

De SAA stelt specifieke regels vast voor het gebruik van markeringen in het gehomologeerde CIS.

F. Ontvangst van informatie

40

Binnen het Parlement is alleen de CIU bevoegd om informatie die als ‘CONFIDENTIEL UE/EU CONFIDENTIAL’, ‘SECRET UE/EU SECRET’ of ‘TRÈS SECRET UE/EU TOP SECRET’ of op een gelijkwaardig niveau is gerubriceerd, van derde partijen te ontvangen.

41

Zowel de CIU als het bevoegde parlementaire orgaan/de bevoegde parlementaire ambtsdrager kunnen verantwoordelijk zijn voor de ontvangst van informatie die als ‘RESTREINT UE/EU RESTRICTED’ of op een gelijkwaardig niveau is gerubriceerd en ‘andere vertrouwelijke informatie’ van derde partijen en voor de toepassing van de in deze veiligheidsmededeling vermelde beginselen.

G. Registratie

42

Registratie betekent de toepassing van procedures voor het optekenen van de levenscyclus van vertrouwelijke informatie, ook de verspreiding, raadpleging en vernietiging ervan.

43

Voor de toepassing van deze veiligheidsmededeling betekent logboek een register waarin met name de datum en het tijdstip worden genoteerd waarop vertrouwelijke informatie:

a): bij het bevoegde secretariaat van het parlementaire orgaan/de parlementaire ambtsdrager c.q. de CIU binnenkomt of buitengaat;
b): wordt ingekeken door of doorgezonden aan een persoon met een veiligheidsmachtiging; en
c): wordt vernietigd.

44

De opsteller van gerubriceerde informatie is verantwoordelijk voor het markeren van de initiële verklaring bij het genereren van een document die dergelijke informatie bevat. Die verklaring wordt aan de CIU meegedeeld wanneer het document wordt gegenereerd.

45

Informatie die als ‘CONFIDENTIEL UE/EU CONFIDENTIAL’, ‘SECRET UE/EU SECRET’ of ‘TRÈS SECRET UE/EU TOP SECRET’ of op een gelijkwaardig niveau is gerubriceerd, mag alleen voor veiligheidsdoeleinden in een CIS worden geregistreerd. Informatie die als ‘RESTREINT UE/EU RESTRICTED’ of op een gelijkwaardig niveau is gerubriceerd en ‘andere vertrouwelijke informatie’ die van derde partijen is ontvangen, wordt door de dienst die verantwoordelijk is voor de officiële ontvangst van het document, d.w.z. hetzij de CIU, hetzij het secretariaat van het parlementaire orgaan/de parlementaire ambtsdrager, voor administratieve doeleinden geregistreerd. Binnen het Parlement geproduceerde ‘andere vertrouwelijke informatie’ wordt voor administratieve doeleinden geregistreerd door de opsteller.

46

Informatie die als ‘CONFIDENTIEL UE/CONFIDENTIEL EU’, ‘SECRET UE/EU SECRET’ of ‘TRÈS SECRET UE/EU TOP SECRET’ of op een gelijkwaardig niveau is gerubriceerd, wordt met name geregistreerd wanneer deze:

a): wordt gegenereerd;
b): bij de CIU binnenkomt of buitengaat; en
c): in het CIS binnenkomt of buitengaat.

47

Informatie die als ‘RESTREINT UE/EU RESTRICTED’ of op een gelijkwaardig niveau is gerubriceerd, wordt met name geregistreerd wanneer deze:

a): wordt gegenereerd;
b): bij het bevoegde secretariaat van het parlementaire orgaan/de parlementaire ambtsdrager c.q. de CIU binnenkomt of buitengaat; en
c): in een CIS binnenkomt of buitengaat.

48

De registratie van vertrouwelijke informatie kan hetzij op papier, hetzij in een elektronisch logboek/CIS geschieden.

49

In het geval van informatie die als ‘RESTREINT UE/EU RESTRICTED’ of op een gelijkwaardig niveau is gerubriceerd en ‘andere vertrouwelijke informatie’ wordt ten minste het volgende geregistreerd:

a): de datum en het tijdstip waarop deze bij het bevoegde secretariaat van het parlementaire orgaan/de parlementaire ambtsdrager c.q. de CIU binnenkomt of buitengaat;
b): de titel van het document, het rubriceringsniveau of de markering, de datum waarop de rubricering/markering verstrijkt en het eventuele referentienummer van het document.

50

In het geval van informatie die als ‘CONFIDENTIEL UE/CONFIDENTIEL EU’, ‘SECRET UE/EU SECRET’ of ‘TRÈS SECRET UE/EU TOP SECRET’ of op een gelijkwaardig niveau is gerubriceerd wordt ten minste het volgende geregistreerd:

a): de datum en het tijdstip waarop deze bij de CIU binnenkomt of buitengaat;
b): de titel van het document, het rubriceringsniveau of de markering, het eventuele referentienummer van het document en de datum waarop de rubricering/markering verstrijkt;
c): de gegevens van de opsteller;
d): een register van de identiteit van elke persoon die toegang tot het document heeft gekregen en van de datum waarop het document door die persoon is ingekeken;
e): een register van eventuele kopieën of vertalingen die van het document zijn gemaakt;
f): de datum en het tijdstip waarop eventuele kopieën of vertalingen van het document bij de CIU buitengaan of terugkomen, en gegevens over aan wie ze zijn toegezonden en wie ze heeft teruggezonden;
g): de datum en het tijdstip waarop het document wordt vernietigd en door wie, overeenkomstig de beveiligingsvoorschriften van het Parlement voor vernietiging; en
h): de lderubricering of lagere rubricering van het document.

51

Logboeken worden zo nodig gerubriceerd of gemarkeerd. Logboeken voor informatie die als ‘TRÈS SECRET UE/EU TOP SECRET’ of op een gelijkwaardig niveau is gerubriceerd, moeten op hetzelfde niveau worden gerubriceerd.

52

Gerubriceerde informatie mag worden geregistreerd:

a): in één logboek; of
b): in afzonderlijke logboeken, naar gelang van het rubriceringsniveau, de status als binnenkomende of uitgaande informatie en de oorsprong of bestemming van de informatie.

53

Indien de informatie elektronisch wordt verwerkt binnen het CIS, mogen de registratieprocedures verlopen met de middelen binnen het CIS zelf die aan gelijkwaardige eisen als bovengenoemde eisen voldoen. Wanneer EUCI het CIS verlaat, is bovengenoemde registratieprocedure van toepassing.

54

Het CIS registreert alle gerubriceerde informatie die door het Parlement wordt vrijgegeven aan derden en van gerubriceerde informatie die van derden wordt ontvangen.

55

Als de registratie van informatie die als ‘CONFIDENTIEL UE/CONFIDENTIEL EU’, ‘SECRET UE/EU SECRET’ of ‘TRÈS SECRET UE/EU TOP SECRET’ of op een gelijkwaardig niveau is gerubriceerd, eenmaal is voltooid, controleert de CIU of de geadresseerde een geldige veiligheidsmachtiging heeft. Zo ja, wordt de geadresseerde door de CIU in kennis gesteld. Gerubriceerde informatie mag slechts worden geraadpleegd nadat het document die deze informatie bevat, is geregistreerd.

H. Verspreiding

56

De opsteller stelt de initiële verzendlijst op voor de EUCI die hij heeft gegenereerd.

57

Informatie die als ‘RESTREINT UE/EU RESTRICTED’ is gerubriceerd en ‘andere vertrouwelijke informatie’ die door het Parlement is gegenereerd, wordt binnen het Parlement verspreid door de opsteller, overeenkomstig de desbetreffende instructies voor behandeling en op basis van het ‘need to know’-beginsel. In het geval van als ‘CONFIDENTIEL UE/EU CONFIDENTIAL’, ‘SECRET UE/EU SECRET’ of ‘TRÈS SECRET UE/EU TOP SECRET’ gerubriceerde informatie die binnen het Parlement is gegenereerd, wordt de verzendlijst (en eventuele nader instructies voor verspreiding) verstrekt aan de CIU, die voor het beheer ervan verantwoordelijk is.

58

Door het Parlement gegenereerde EUCI mag alleen door de CIU aan derden worden verzonden, op basis van het ‘need to know’-beginsel.

59

Vertrouwelijke informatie die wordt ontvangen door hetzij de CIU, hetzij een orgaan/ambtsdrager van het parlement die daarom heeft verzocht, wordt verspreid overeenkomstig de instructies die de opsteller ervan heeft gegeven.

I. Behandeling, opslag en raadpleging

60

De behandeling, de opslag en de raadpleging van vertrouwelijke informatie geschieden overeenkomstig veiligheidsmededeling 4 en de instructies voor behandeling.

J. Kopiëren/vertalen/vertolken van gerubriceerde informatie

61

Documenten die informatie bevatten die als ‘TRÈS SECRET UE/EU TOP SECRET’ of op een gelijkwaardig niveau is gerubriceerd, mogen niet zonder voorafgaande schriftelijke toestemming van de opsteller worden gekopieerd of vertaald. Documenten die informatie bevatten die als ‘SECRET UE/EU SECRET’ of op een gelijkwaardig niveau of ‘CONFIDENTIEL UE/EU CONFIDENTIAL’ of op een gelijkwaardig niveau is gerubriceerd, mogen op instructie van de houder worden gekopieerd of vertaald, mits de opsteller dat niet heeft verboden.

62

Elke kopie van een document dat informatie bevat die als ‘TRES SECRET UE/EU TOP SECRET’, ‘SECRET UE/EU SECRET’ of ‘CONFIDENTIEL UE/EU CONFIDENTIAL’of op een gelijkwaardig niveau is gerubriceerd, wordt voor veiligheidsdoeleinden geregistreerd.

63

De beveiligingsmaatregelen die voor het originele document met gerubriceerde informatie gelden, zijn ook van toepassing op de kopieën en vertalingen ervan.

64

Documenten die van de Raad worden ontvangen, dienen in alle officiële talen te worden ontvangen.

65

Om kopieën en/of vertalingen van documenten die gerubriceerde informatie bevatten, mag door de opsteller of de houder van een kopie worden verzocht. Kopieën van documenten die informatie bevatten die als ‘CONFIDENTIEL UE/EU CONFIDENTIAL’, ‘SECRET UE/EU SECRET’ of ‘TRÈS SECRET UE/EU TOP SECRET’ of op een gelijkwaardig niveau zijn gerubriceerd, mogen alleen in de beveiligde zone worden gemaakt, en wel op kopieerapparaten die deel uitmaken van een gehomologeerd CIS. Kopieën van documenten die informatie bevatten die als ‘RESTREINT UE/EU RESTRICTED’ of op een gelijkwaardig niveau zijn gerubriceerd, moeten binnen de gebouwen van het Parlement worden gemaakt met gehomologeerde kopieerapparatuur.

66

Alle kopieën en vertalingen van een document of delen of kopieën van documenten die vertrouwelijke informatie bevatten, worden naar behoren gemarkeerd, genummerd en geregistreerd.

67

Er worden niet meer kopieën gemaakt dan strikt nodig is. Na afloop van de raadplegingstermijn moeten alle kopieën overeenkomstig de instructies voor behandeling worden vernietigd.

68

Alleen tolken en vertalers die ambtenaren van het Parlement zijn, krijgen toegang tot gerubriceerde informatie.

69

Tolken en vertalers die toegang hebben tot documenten die informatie bevatten die als ‘CONFIDENTIEL UE/EU CONFIDENTIAL’, ‘SECRET UE/EU SECRET’ of ‘TRÈS SECRET UE/EU TOP SECRET’ of op een gelijkwaardig niveau is gerubriceerd, moeten de nodige veiligheidsmachtiging hebben.

70

Wanneer tolken en vertalers aan documenten werken die informatie bevatten die als ‘CONFIDENTIEL UE/EU CONFIDENTIAL’, ‘SECRET UE/EU SECRET’ of ‘TRÈS SECRET UE/EU TOP SECRET’ of op een gelijkwaardig niveau is gerubriceerd, moeten zij in de beveiligde zone werken.

K. Lager rubriceren, derubriceren en demarreren van vertrouwelijke informatie

K.1. Algemene beginselen

71

Vertrouwelijke informatie wordt gederubriceerd, lager gerubriceerd of gedemarkeerd wanneer de bescherming niet langer noodzakelijk is of niet langer op het oorspronkelijke niveau noodzakelijk is.

72

Besluiten om de informatie in binnen het Parlement gegenereerde documenten lager te rubriceren, te derubriceren of te demarkeren kunnen ook ad hoc worden genomen, bijvoorbeeld na een verzoek om inzage van het publiek of een andere instelling van de Unie of op initiatief van de CIU of het parlementaire orgaan/de parlementaire ambtsdrager.

73

Bij het genereren geeft de opsteller waar mogelijk aan of de EUCI op een bepaalde datum of na een bepaalde gebeurtenis lager gerubriceerd of gederubriceerd mag worden. Als het niet mogelijk is dat aan te geven, heroverwegen de opsteller, de CIU of het parlementaire orgaan dat/de parlementaire ambtsdrager die houder is van de informatie, het rubriceringsniveau van de EUCI ten minste om de vijf jaar. In elk geval mag EUCI alleen met voorafgaande schriftelijke toestemming van de opsteller lager gerubriceerd of gederubriceerd worden.

74

Indien de opsteller van EUCI niet kan worden vastgesteld of getraceerd, heroverweegt de veiligheidsinstantie de rubricering van de EUCI in kwestie op basis van een voorstel van het parlementaire orgaan dat/de parlementaire ambtsdrager die de informatie bewaart, die daartoe de CIU kan raadplegen.

75

De CIU of het parlementaire orgaan dat/de parlementaire ambtsdrager die houder is van de informatie, is verantwoordelijk voor het inlichten van de geadresseerden over de derubricering of lagere rubricering van de informatie, en die geadresseerden zijn op hun beurt verantwoordelijk voor het inlichten van eventuele verdere geadresseerden aan wie zij het document of een kopie daarvan hebben toegezonden.

76

De derubricering, lagere rubricering of demarkering van informatie in een document wordt geregistreerd.

K.2. Derubricering

77

EUCI kan geheel of gedeeltelijk worden gederubriceerd. EUCI kan gedeeltelijk worden gederubriceerd wanneer bescherming niet langer nodig wordt geacht voor een bepaal deel van het document, maar gerechtvaardigd blijft voor de rest van het document.

78

Wanneer de heroverweging van EUCI in een binnen het Parlement gegenereerd document resulteert in een besluit tot derubricering, moet worden overwogen of het document openbaar mag worden gemaakt, dan wel een verspreidingsmarkering moet krijgen (d.w.z. niet openbaar mag worden gemaakt).

79

Wanneer EUCI wordt gederubriceerd, wordt de derubricering in het logboek geregistreerd met de volgende gegevens: datum van de derubricering, namen van de personen die om de derubricering hebben verzocht en daartoe toestemming hebben gegeven, referentienummer van het gederubriceerde document en uiteindelijke bestemming ervan.

80

De oude rubriceringsmarkeringen in het gederubriceerde document en in alle kopieën daarvan worden doorstreept. De documenten en alle kopieën daarvan worden dienovereenkomstig opgeslagen.

81

Na gedeeltelijke derubricering van gerubriceerde documenten wordt het gederubriceerde deel in de vorm van een uittreksel gegenereerd en dienovereenkomstig opgeslagen. De bevoegde dienst registreert:

a): de datum van de gedeeltelijke derubricering;
b): de namen van de personen die om de derubricering hebben verzocht en daartoe toestemming hebben gegeven; en
c): het referentienummer van het gederubriceerde uittreksel.

K.3. Lagere rubricering

82

Nadat gerubriceerde informatie een lagere rubricering heeft gekregen, wordt het desbetreffende document in de logboeken voor zowel het oude als het nieuwe rubriceringsniveau geregistreerd. De datum van de lagere rubricering alsook de naam van de persoon die daarom heeft verzocht, worden geregistreerd.

83

Het document dat de lager gerubriceerde informatie bevat en alle kopieën daarvan krijgen het nieuwe rubriceringsniveau en worden dienovereenkomstig opgeslagen.

L. Vernietiging van vertrouwelijke informatie

84

Vertrouwelijke informatie (papieren of elektronische versie) die niet langer nodig is, wordt vernietigd of gewist overeenkomstig de instructies voor behandeling en de desbetreffende archiveringsvoorschriften.

85

Informatie die als ‘TRES SECRET UE/EU TOP SECRET’ of of ‘SECRET UE/EU SECRET’ of op een gelijkwaardig niveau is gerubriceerd, wordt door de CIU vernietigd in aanwezigheid van een getuige die een veiligheidsmachtiging heeft voor ten minste het rubriceringsniveau van de te vernietigen informatie.

86

Informatie die als ‘TRES SECRET UE/EU TOP SECRET’ of op een gelijkwaardig niveau is gerubriceerd, mag alleen met voorafgaande schriftelijke toestemming van de opsteller worden vernietigd.

87

Informatie die als ‘CONFIDENTIEL UE/EU CONFIDENTIAL’, ‘SECRET UE/EU SECRET’ of ‘TRÈS SECRET UE/EU TOP SECRET’ of op een gelijkwaardig niveau is gerubriceerd, wordt door de CIU vernietigd en verwijderd op instructie van de opsteller of een bevoegde instantie. De logboeken en andere registers worden dienovereenkomstig geactualiseerd. Informatie die als ‘RESTREINT UE/EU RESTRICTED’ of op een gelijkwaardig niveau is gerubriceerd, wordt hetzij door de CIU, hetzij door de het parlementaire orgaan/de parlementaire ambtsdrager vernietigd en verwijderd.

88

De ambtenaar die verantwoordelijk is voor de vernietiging en de getuige van de vernietiging ondertekenen een vernietigingscertificaat, dat door de CIU wordt bewaard en gearchiveerd. De CIU houdt, samen met de verspreidingsformulieren, de vernietigingscertificaten betreffende informatie die als ‘TRES SECRET UE/EU TOP SECRET’ of op een gelijkwaardig niveau is gerubriceerd, gedurende ten minste tien jaar bij, en in het geval van informatie die als ‘SECRET UE/EU SECRET’ of op een gelijkwaardig niveau of ‘CONFIDENTIEL UE/EU CONFIDENTIAL’ of op een gelijkwaardig niveau is gerubriceerd, gedurende ten minste vijf jaar.

89

Documenten die gerubriceerde informatie bevatten, worden vernietigd volgens methoden die aan de toepasselijke normen van de Unie of gelijkwaardige normen voldoen om te voorkomen dat zij geheel of gedeeltelijk worden gereconstrueerd.

90

Digitale opslagmedia die voor gerubriceerde informatie zijn gebruikt, worden vernietigd overeenkomstig de desbetreffende instructies voor behandeling.

91

De vernietiging van gerubriceerde informatie wordt in het logboek geregistreerd met de volgende gegevens:

a): datum en tijdstip van vernietiging;
b): naam van de ambtenaar die verantwoordelijk is voor de vernietiging;
c): identificatie van het vernietigde document of de vernietigde kopieën;
d): oorspronkelijke fysieke vorm van de vernietigde EUCI;
e): wijze van vernietiging; en
f): plaats van vernietiging.

M. Archivering

92

Gerubriceerde informatie, met inbegrip van begeleidende nota's of brieven, bijlagen, afgiftebewijzen en/of andere onderdelen van het dossier, wordt zes maanden na de laatste raadpleging en uiterlijk één jaar na de deponering ervan naar het beveiligde archief in de beveiligde zone overgebracht. Nadere regels voor de archivering van gerubriceerde informatie worden in de instructies voor behandeling vastgesteld.

93

Op ‘andere vertrouwelijke informatie’ zijn de algemene regels betreffende documentbeheer van toepassing, onverminderd eventuele andere specifieke voorschriften betreffende de behandeling ervan.

Veiligheidsmededeling 3. De verwerking van vertrouwelijke informatie door middel van geautomatiseerde communicatie- en informatiesystemen (CIS)

A. De borging van in informatiesystemen verwerkte gerubriceerde gegevens

1

Informatieborging (hierna: ‘Information Assurance — IA’) op het gebied van informatiesystemen is het vertrouwen dat die systemen de erin opgenomen informatie zullen beschermen en zullen functioneren zoals nodig en wanneer nodig, onder toezicht van legitieme gebruikers. Doeltreffende IA waarborgt passende niveaus van vertrouwelijkheid, integriteit, beschikbaarheid, onweerlegbaarheid en authenticiteit. IA is op een risicobeheerproces gebaseerd.

2

‘Communicatie- en informatiesystemen’ (CIS) voor het verwerken van gerubriceerde informatie zijn systemen waarmee informatie in elektronische vorm kan worden verwerkt. Een dergelijk informatiesysteem omvat alle functionele bestanddelen die voor het functioneren ervan vereist zijn, waaronder infrastructuur, organisatie, personeel en informatiebronnen.

3

CIS verwerken gerubriceerde informatie overeenkomstig het concept van IA.

4

CIS worden aan een homologatieprocedure onderworpen. Met de homologatie wordt beoogd de verzekering te verkrijgen dat alle toepasselijke beveiligingsmaatregelen zijn getroffen en dat het niveau van bescherming van de gerubriceerde informatie en van het CIS overeenkomstig deze veiligheidsmededeling voldoende wordt geacht. In de homologatieverklaring worden de maximaal toegelaten rubriceringsgraad van de informatie die door het CIS mag worden verwerkt en de voorwaarden daarvoor vastgesteld.

5

Onderstaande IA-eigenschappen en -concepten zijn essentieel voor de beveiliging en de correcte werking van operaties met CIS.

a): authenticiteit: de garantie dat informatie echt en ongewijzigd en van bonafide bronnen afkomstig is;
b): beschikbaarheid: op verzoek van een gemachtigde entiteit toegankelijk en bruikbaar zijn;
c): vertrouwelijkheid: de informatie wordt niet vrijgegeven aan niet-gemachtigde personen, entiteiten of processen.
d): integriteit: de nauwkeurigheid en de volledigheid van de informatie en de functionele bestanddelen worden gewaarborgd.
e): onweerlegbaarheid: het vermogen om te bewijzen dat een actie of gebeurtenis heeft plaatsgevonden, zodat deze niet vervolgens kan worden ontkend.

B. Beginselen van information assurance

6

De onderstaande bepalingen vormen de basis voor de beveiliging van alle CIS die voor het verwerken van gerubriceerde informatie worden gebruikt. In de beveiligingsbeleidsmaatregelen en beveiligingsrichtlijnen inzake IA moeten uitgebreide voorschriften voor de uitvoering van deze bepalingen worden vastgelegd.

B.1. Beheer van beveiligingsrisico's

7

Beheer van veiligheidsrisico's is een integraal onderdeel van het omschrijven, ontwikkelen, exploiteren en onderhouden van een CIS. Risicobeheer (beoordeling, behandeling, aanvaarding en communicatie) verloopt als een zich herhalend proces, gezamenlijk uitgevoerd door vertegenwoordigers van de eigenaren van systemen, projectautoriteiten, exploitanten en veiligheidsgoedkeuringsinstanties, zoals bedoeld in veiligheidsmededeling 1, met gebruikmaking van een risicobeoordelingsprocedure die zichzelf heeft bewezen en transparant en begrijpelijk is. De reikwijdte van het CIS en zijn functionele bestanddelen wordt aan het begin van de risicobeheerprocedure duidelijk afgebakend.

8

De bevoegde instanties, zoals omschreven in veiligheidsmededeling 1, bezien de mogelijke dreigingen voor CIS en zorgen voor bijgewerkte en nauwkeurige dreigingsbeoordelingen die weergeven hoe de operationele omgeving van dat moment is. Zij werken voortdurend hun kennis inzake kwetsbaarheden bij en herzien op gezette tijden de kwetsbaarheidsbeoordeling, met het oog op aanpassing aan de veranderende informatietechnologieomgeving (IT).

9

De behandeling van veiligheidsrisico's is erop gericht een reeks beveiligingsmaatregelen toe te passen die een bevredigend evenwicht oplevert tussen de verlangens van de gebruikers, de kosten en het resterende veiligheidsrisico.

10

Homologatie van een CIS houdt mede een formele verklaring betreffende het resterende risico in en aanvaarding van dat resterende risico door een verantwoordelijke autoriteit. De door de bevoegde SAA bepaalde specifieke eisen, reikwijdte en gedetailleerdheid voor de homologatie van een CIS stemmen overeen met het ingeschatte risico, rekening houdend met alle relevante factoren, waaronder het rubriceringsniveau van de in het CIS verwerkte gerubriceerde informatie.

B.2. Beveiliging gedurende de levenscyclus van het CIS

11

Beveiliging is gedurende de gehele levenscyclus van het CIS — vanaf de ingebruikname tot de buitengebruikstelling — een vereiste.

12

De rol en interactie van iedere bij een CIS betrokken partij in verband met de beveiliging ervan wordt voor iedere fase van de levenscyclus vastgesteld.

13

CIS, inclusief de maatregelen voor de technische en niet-technische beveiliging ervan, worden tijdens de homologatieprocedure aan beveiligingstests onderworpen om ervoor te zorgen dat het passende niveau van IA wordt bereikt en om na te gaan of CIS, inclusief de maatregelen voor de technische en niet-technische beveiliging ervan, correct zijn geïmplementeerd, geïntegreerd en geconfigureerd.

14

Beveiligingsbeoordelingen, inspecties en evaluaties worden op gezette tijden verricht tijdens de werking en het onderhoud van een CIS en wanneer zich uitzonderlijke omstandigheden voordoen.

15

De beveiligingsdocumentatie voor een CIS evolueert gedurende de levenscyclus van dat CIS als een integrerend deel van het proces van wijzigingsbeheer.

16

De door een CIS uitgevoerde registratieprocedures worden indien nodig geverifieerd als onderdeel van de homologatieprocedure.

B.3. Optimale werkwijzen

17

De IAA ontwikkelt optimale werkwijzen voor de bescherming van door een CIS verwerkte gerubriceerde informatie. Richtlijnen inzake optimale toepassing beschrijven technische, fysieke, organisatorische en procedurele beveiligingsmaatregelen voor CIS, waarvan is aangetoond dat zij doeltreffend zijn in het bestrijden van dreigingen en kwetsbaarheden.

18

De bescherming van door CIS verwerkte gerubriceerde informatie steunt op de lering die door de bij IA betrokken entiteiten is getrokken.

19

De verspreiding en de daaropvolgende toepassing van optimale werkwijzen dragen bij aan het bereiken van een zelfde niveau van IA voor de CIS waarin gerubriceerde informatie wordt verwerkt en die door het secretariaat van het Parlement worden gebruikt.

B.4. Grondige verdediging

20

Om de risico's voor CIS tot een minimum te beperken, wordt een reeks technische en niet-technische beveiligingsmaatregelen genomen, in de vorm van meerdere verdedigingslagen. Die lagen omvatten:

a): afschrikking: beveiligingsmaatregelen die vijandelijke plannen om het CIS aan te vallen, moeten ontraden;
b): preventie: beveiligingsmaatregelen die een aanval op het CIS moeten verhinderen of tegenhouden;
c): detectie: beveiligingsmaatregelen die moeten ontdekken dat het CIS wordt aangevallen;
d): veerkracht: beveiligingsmaatregelen die het effect van een aanval tot een zo klein mogelijke reeks informatie of onderdelen van CIS moeten beperken en verdere schade moeten voorkomen; en
e): herstel: beveiligingsmaatregelen die weer tot een veilige situatie voor het CIS moeten leiden.

Aan de hand van een risicobeoordeling wordt bepaald hoe streng die beveiligingsmaatregelen moeten zijn.

21

De bevoegde instanties, zoals omschreven in veiligheidsmededeling 1, zorgen ervoor dat zij kunnen reageren op incidenten die de organisatorische grenzen kunnen overschrijden om de reacties te coördineren en informatie uit te wisselen over deze incidenten en de ermee verband houdende risico's (computernoodhulpvaardigheden).

B.5. Beginsel van ‘minimalist and least privilege’

22

Ter vermijding van onnodige risico's worden uitsluitend de functies, apparaten en diensten geactiveerd die essentieel zijn voor het vervullen van de operationele eisen.

23

Gebruikers van een CIS en geautomatiseerde processen krijgen alleen de toegang, voorrechten of machtigingen die zij nodig hebben voor het uitvoeren van hun taken, zodat schade ten gevolge van ongelukken, vergissingen of ongeoorloofd gebruik van CIS-middelen beperkt blijft.

B.6. Besef van informatieborging

24

De eerste verdedigingslaag voor de beveiliging van CIS bestaat uit bewustwording van de risico's en de beschikbare beveiligingsmaatregelen. Vooral alle personeelsleden die betrokken zijn bij de levenscyclus van CIS, met inbegrip van de gebruikers, moeten inzien:

a): dat beveiligingsfouten ernstige schade kunnen berokkenen aan CIS die gerubriceerde informatie verwerken;
b): dat interconnectiviteit en onderlinge afhankelijkheid kunnen leiden tot schade voor anderen; en
c): dat zij individuele verantwoordelijkheid en aansprakelijkheid dragen voor de beveiliging van CIS overeenkomstig hun functies binnen de systemen en processen.

25

Al het betrokken personeel, met inbegrip van het hogere kader, leden van het Europees Parlement en CIS-gebruikers, moeten verplicht een IA-opleiding en -bewustwordingstraining volgen, zodat goed wordt begrepen waar de verantwoordelijkheden inzake beveiliging liggen.

B.7. Evaluatie en goedkeuring van IT-beveiligingsproducten

26

CIS die informatie die als ‘CONFIDENTIEL UE/EU CONFIDENTIAL’, ‘SECRET UE/EU SECRET’ of ‘TRÈS SECRET UE/EU TOP SECRET’ of op een gelijkwaardige is gerubriceerd verwerken, worden zodanig beschermd dat de gerubriceerde informatie niet kan worden gecompromitteerd door onopzettelijke elektromagnetische emissies (hierna: ‘Tempest-beveiligingsmaatregelen’).

27

Wanneer gerubriceerde informatie door versleutelingsproducten wordt beschermd, worden deze producten door de SAA gecertificeerd als door de Unie goedgekeurde versleutelingsproducten.

28

Tijdens de overdracht van gerubriceerde informatie met elektronische middelen moeten door de Unie goedgekeurde versleutelingsproducten worden gebruikt. Niettegenstaande deze eis kunnen specifieke procedures of specifieke technische configuraties worden toegepast in noodgevallen als bepaald in de punten 41 t/m 44.

29

De vereiste graad van vertrouwen in de beveiligingsmaatregelen, gedefinieerd als een niveau van IA, wordt bepaald aan de hand van de resultaten van de risicobeheersprocedure en het beveiligingsbeleid en de beveiligingsrichtlijnen in kwestie.

30

Het niveau van IA wordt geverifieerd middels internationaal erkende of nationaal goedgekeurde processen en technologieën. Dit omvat in de eerste plaats evaluatie, controles en audits.

31

De SAA stelt beveiligingsrichtlijnen vast inzake de kwalificatie en goedkeuring van IT-beveiligingsproducten die geen versleutelingsproducten zijn.

B.8. Overdracht binnen de beveiligde zone

32

Wanneer de overdracht van gerubriceerde informatie beperkt is tot de beveiligde zone kan, op basis van het resultaat van een risicobeheerprocedure en behoudens goedkeuring van de SAA, gebruik worden gemaakt van onversleutelde verspreiding of van versleuteling op een lager niveau.

B.9. Beveiligde interconnectie van CIS

33

Onder een interconnectie wordt verstaan: een rechtstreekse koppeling van twee of meer IT-systemen, met als doel het uitwisselen van gegevens en andere bronnen van informatie, in één of meer richtingen.

34

Een CIS beschouwt ieder gekoppeld IT-systeem als niet-vertrouwd en activeert beschermende maatregelen om de uitwisseling van gerubriceerde informatie met andere CIS te controleren.

35

Alle interconnecties van CIS aan een ander IT-systeem voldoen aan onderstaande basisvereisten:

a): de zakelijke of operationele vereisten voor dergelijke interconnecties worden door de bevoegde autoriteiten vastgelegd en goedgekeurd;
b): de interconnectie in kwestie wordt aan een procedure inzake risicobeheersing en accreditatie onderworpen en behoeft de goedkeuring van de SAA;
c): de perimeters van CIS worden opgezet met voorzieningen om de grenzen te beschermen.

36

Er wordt geen interconnectie tot stand gebracht tussen een geaccrediteerd CIS en een onbeschermd of openbaar netwerk, behalve indien voor dat doel in het CIS goedgekeurde grensbeschermingsvoorzieningen tussen het CIS en het onbeschermde of openbare netwerk zijn geïnstalleerd. De beveiligingsmaatregelen voor dergelijke interconnecties worden getoetst door de bevoegde IAA en goedgekeurd door de bevoegde SAA.

37

Wanneer het onbeschermde of openbare netwerk alleen als drager wordt gebruikt en de gegevens versleuteld zijn met een overeenkomstig lid 27 gecertificeerd versleutelingsproduct van de Unie, wordt zo'n koppeling niet gezien als een interconnectie.

38

De rechtstreekse interconnectie of de interconnectie in cascade met een onbeschermd of openbaar netwerk, van een CIS dat gehomologeerd is voor het verwerken van informatie die als ‘TRÈS SECRET UE/EU TOP SECRET’ of op een gelijkwaardige niveau, ‘SECRET UE/EU SECRET’ of op een gelijkwaardige niveau is gerubriceerd, is verboden.

B.10. Digitale opslagmedia

39

Digitale opslagmedia worden vernietigd volgens procedures die de bevoegde veiligheidsautoriteit heeft goedgekeurd.

40

Digitale opslagmedia worden overeenkomstig de instructies voor behandeling hergebruikt, van een lagere rubricering voorzien of gederubriceerd.

B.11. Noodgevallen

41

De hieronder beschreven specifieke procedures mogen worden toegepast in noodgevallen, zoals dreigende of uitgebroken crises, conflicten, oorlogssituaties of in uitzonderlijke operationele omstandigheden.

42

Gerubriceerde informatie mag met toestemming van de bevoegde autoriteit door middel van voor een lager rubriceringsniveau goedgekeurde versleutelingsproducten of zonder versleuteling worden overgedragen, indien vertraging schade zou veroorzaken die duidelijk zwaarder weegt dan de schade ten gevolge van de verspreiding van het gerubriceerde materiaal en indien:

a): de zender en de ontvanger niet over de vereiste versleutelingsapparatuur beschikken of helemaal geen versleutelingsapparatuur hebben; en
b): het gerubriceerde materiaal niet op tijd met andere middelen kan worden verstuurd.

43

Gerubriceerde informatie die in de in punt 41 bedoelde omstandigheden wordt overgedragen, mag geen tekenen of aanwijzingen dragen die haar onderscheidt van ongerubriceerde informatie of van informatie die door een beschikbaar versleutelingsproduct kan worden beschermd. Ontvangers worden onverwijld langs andere wegen op de hoogte gebracht van het rubriceringsniveau.

44

Indien gebruik wordt gemaakt van punt 41 of punt 42, wordt nadien een verslag opgesteld voor de bevoegde instantie.

Veiligheidsmededeling 4. Fysieke beveiliging

A. Inleiding

Deze veiligheidsmededeling omvat de beveiligingsbeginselen voor het scheppen van een veilige omgeving voor het correct verwerken van gerubriceerde informatie binnen het Europees Parlement. Die beginselen, inclusief die betreffende de technische beveiliging, worden aangevuld met de instructies voor behandeling.

B. Beheer van beveiligingsrisico's

1

Risico's voor gerubriceerde informatie worden beheerd als een proces. Dat proces is gericht op het bepalen van de bekende veiligheidsrisico's, het vaststellen van beveiligingsmaatregelen om deze risico's tot een aanvaardbaar niveau te beperken conform de grondbeginselen en minimumnormen van deze veiligheidsmededeling, en het toepassen van die maatregelen overeenkomstig het begrip ‘grondige verdediging’, zoals omschreven in veiligheidsmededeling 3. De doeltreffendheid van deze maatregelen wordt constant geëvalueerd.

2

De beveiligingsmaatregelen ter bescherming van gerubriceerde informatie gedurende haar gehele levenscyclus zijn evenredig met, in het bijzonder, de rubricering, de vorm en de omvang van de informatie of het materiaal in kwestie, de locatie en constructie van faciliteiten waar de gerubriceerde informatie in is ondergebracht en de lokaal beoordeelde dreiging van kwaadwillige en/of criminele activiteiten, met inbegrip van spionage, sabotage en terrorisme.

3

In de rampenplannen wordt rekening gehouden met de noodzaak om gerubriceerde informatie in noodsituaties te beschermen, teneinde toegang en openbaarmaking zonder machtiging of aantasting van de integriteit of beschikbaarheid te voorkomen.

4

In de bedrijfscontinuïteitsplannen worden preventie- en herstelmaatregelen opgenomen om de gevolgen van ernstige storingen of incidenten voor de verwerking en opslag van gerubriceerde informatie zo gering mogelijk te houden.

C. Algemene beginselen

5

De rubricerings- of markeringsgraad die aan de informatie wordt toegekend, bepaalt welk beschermingsniveau van toepassing is ten aanzien van de fysieke beveiliging ervan.

6

Informatie die aanleiding geeft tot rubricering moet als zodanig worden gemarkeerd en verwerkt, ongeacht de fysieke vorm ervan. De rubricering ervan wordt duidelijk aan de ontvangers kenbaar gemaakt, in de vorm van een rubriceringsmarkering (als de informatie schriftelijk wordt verstrekt, op papier of in het CIS) of een mededeling (als de informatie mondeling wordt verstrekt, bijvoorbeeld in een gesprek of tijdens een presentatie). Gerubriceerd materiaal wordt fysiek zodanig gemarkeerd dat de rubriceringsgraad duidelijk zichtbaar is.

7

Vertrouwelijke informatie wordt in geen enkel geval gelezen op openbare plaatsen waar zij kan worden gezien door personen die geen noodzaak tot kennisname (‘need to know’) hebben, zoals treinen, vliegtuigen, cafés of bars. Zij wordt niet op hotelkamers of in hotelkluisjes achtergelaten. Zij wordt niet onbeheerd op openbare plaatsen achtergelaten.

D. Verantwoordelijkheden

8

De CIU is verantwoordelijk voor de waarborging van de fysieke beveiliging bij het beheren van vertrouwelijke informatie die in haar beveiligde ruimten is opgeslagen. Ook is de CIU verantwoordelijk voor het beheer van haar beveiligde ruimten.

9

De fysieke beveiliging bij het beheer van informatie die als ‘RESTREINT UE/EU RESTRICTED’ of op een gelijkwaardig niveau is gerubriceerd, of van ‘andere vertrouwelijke informatie’, is de verantwoordelijkheid van het bevoegde parlementaire orgaan/de bevoegde parlementaire ambtsdrager.

10

Het directoraat Veiligheid en risicobeoordeling draagt zorg voor de persoonlijke beveiliging en de veiligheidsmachtiging die noodzakelijk zijn voor de veilige verwerking van vertrouwelijke informatie binnen het Europees Parlement.

11

Het DIT brengt advies uit en ziet erop toe dat alle gecreëerde en gebruikte CIS volledig in overeenstemming zijn met veiligheidsmededeling 3 en de bijbehorende instructies voor behandeling.

E. Beveiligde ruimten

12

Beveiligde ruimten kunnen overeenkomstig de technische beveiligingsnormen worden geïnstalleerd, volgens de graad die aan de vertrouwelijke informatie is toegekend zoals omschreven in artikel 7.

13

De beveiligde ruimten worden door de SAA gecertificeerd en door de veiligheidsinstantie gevalideerd.

F. Raadpleging van vertrouwelijke informatie

14

Wanneer als ‘RESTREINT UE/EU RESTRICTED’ of op een gelijkwaardig niveau gerubriceerde informatie bij de CIU is gedeponeerd en buiten de beveiligde zone moet worden geraadpleegd, voorziet de CIU de passende bevoegde dienst van een kopie. De bevoegde dienst zorgt ervoor dat de raadpleging en behandeling van de informatie in kwestie in overeenstemming zijn met de artikelen 8, lid 2, en artikel 10 van dit besluit en de desbetreffende instructies voor behandeling.

15

Wanneer als ‘RESTREINT UE/EU RESTRICTED’ of op een gelijkwaardig niveau gerubriceerde informatie of ‘andere vertrouwelijke informatie’ is gedeponeerd bij een ander parlementair orgaan of een andere parlementaire ambtsdrager dan de CIU, ziet het secretariaat van het parlementair orgaan of de parlementaire ambtsdrager in kwestie erop toe dat de raadpleging en behandeling van de informatie in kwestie in overeenstemming zijn met artikel 7, lid 3, artikel 8, leden 1, 2, en 4, artikel 9, leden 3, 4, en 5, artikel 10, leden 2 t/m 6, en artikel 11 van dit besluit en de desbetreffende instructies voor behandeling.

16

Wanneer als ‘CONFIDENTIEL UE/EU CONFIDENTIAL’, ‘SECRET UE/EU SECRET’ of ‘TRÈS SECRET UE/EU TOP SECRET’ of op een gelijkwaardig niveau gerubriceerde informatie buiten de beveiligde zone moet worden geraadpleegd, ziet de CIU erop toe dat de raadpleging en behandeling van de informatie in kwestie in overeenstemming zijn met de artikelen 9 en 10 van dit besluit en de desbetreffende instructies voor behandeling.

G. Technische beveiliging

17

Technische beveiligingsmaatregelen vallen onder de verantwoordelijkheid van de SAA, die in de desbetreffende instructies voor behandeling vaststelt welke specifieke technische beveiligingsmaatregelen moeten worden toegepast.

18

Beveiligde leeskamers voor de raadpleging van als ‘RESTREINT UE/EU RESTRICTED’ of op een gelijkwaardig niveau gerubriceerde informatie dan wel ‘andere vertrouwelijke informatie’ voldoen aan specifieke technische beveiligingsmaatregelen zoals omschreven in de instructies voor behandeling.

19

De beveiligde ruimte omvat de volgende voorzieningen:

a): een onderzoeksruimte voor gecontroleerde toegang die volgens de technische beveiligingsmaatregelen uit de instructies voor behandeling wordt geïnstalleerd. De toegang tot deze ruimte wordt geregistreerd. De onderzoeksruimte voldoet aan hoge normen voor de identificatie van personen die toegang wordt geboden, videoregistratie, veilige bewaarplaatsen voor persoonlijke bezittingen die verboden zijn binnen de beveiligde ruimten (telefoons, pennen enzovoorts);
b): een gespreksruimte voor de overdracht en ontvangst van gerubriceerde informatie, met inbegrip van versleutelde gerubriceerde informatie, in overeenstemming met veiligheidsmededeling 3 en de desbetreffende instructies voor behandeling;
c): een beveiligd archief, waar goedgekeurde en gecertificeerde opbergruimten afzonderlijk worden gebruikt voor informatie die als ‘RESTREINT UE/EU RESTRICTED’, ‘CONFIDENTIEL UE/EU CONFIDENTIAL’ of ‘SECRET EU/EU SECRET’ of op een gelijkwaardig niveau is gerubriceerd. Informatie die als ‘TRES SECRET UE/EU TOP SECRET’ of gelijkwaardig is gerubriceerd, wordt in een afzonderlijke ruimte in een specifieke gecertificeerde container bewaard. Het enige aanvullende beschikbare materiaal in deze ruimte is de helpdesk voor het beheren van het archief door de CIU;
d): een registratieruimte, die voorzien is van de nodige middelen voor een papieren of elektronische registratie en van de nodige beveiligde voorzieningen voor het installeren van de toepasselijke CIS. Alleen de registratieruimte mag goedgekeurde en gehomologeerde kopieerapparatuur bevatten (voor het maken van papieren of elektronische kopieën). In de instructies voor behandeling wordt vermeld welke kopieerapparatuur is goedgekeurd en gehomologeerd. De registratieruimte voorziet voorts in de noodzakelijke ruimte voor de opslag en verwerking van geaccrediteerd materiaal om gerubriceerde informatie in fysieke vorm te kunnen markeren, kopiëren en verzenden, per rubriceringsgraad. Al het geaccrediteerde materiaal wordt omschreven door de CIU en geaccrediteerd door de SAA, op advies van de IAOA. Deze ruimte is ook uitgerust met geaccrediteerde vernietigingsapparatuur die is goedgekeurd voor de hoogste rubriceringsgraad, zoals omschreven in de instructies voor behandeling. De vertaling van informatie die als ‘CONFIDENTIEL UE/EU CONFIDENTIAL EU’, ‘SECRET UE/EU SECRET’ of ‘TRÈS SECRET UE/EU TOP SECRET’ of op een gelijkwaardig niveau is gerubriceerd, vindt plaats in de registratieruimte, in het toepasselijke en geaccrediteerde systeem. De registratieruimte biedt werkplekken voor maximaal twee vertalers tegelijkertijd en voor hetzelfde document. Hierbij is één personeelslid van de CIU aanwezig.
e): een leeskamer, voor het individueel raadplegen van gerubriceerde informatie door naar behoren gemachtigde personen. De leeskamer biedt voldoende ruimte voor twee personen, met inbegrip van een personeelslid van de CIU, dat te allen tijde bij iedere raadpleging aanwezig is. Het beveiligingsniveau van deze kamer is ontworpen voor de raadpleging van informatie die als ‘CONFIDENTIEL UE/EU CONFIDENTIAL’, ‘SECRET UE/EU SECRET’ of ‘TRÈS SECRET UE/EU TOP SECRET’ of op een gelijkwaardig niveau is gerubriceerd. De leeskamer kan worden uitgerust met Tempestapparatuur om waar nodig in elektronische raadpleging te voorzien, in overeenstemming met de rubriceringsgraad van de informatie.
f): een vergaderzaal, die voldoende plaats biedt aan 25 personen voor het bespreken van informatie die als ‘CONFIDENTIEL UE/EU CONFIDENTIAL’, ‘SECRET EU/EU SECRET’ of op een gelijkwaardig niveau is gerubriceerd. De vergaderzaal biedt de nodige beveiligde en gecertificeerde technische voorzieningen voor vertolking in en vanuit maximaal twee talen. Wanneer zij niet voor vergaderingen wordt gebruikt, kan de vergaderzaal ook dienst doen als aanvullende leesruimte voor individuele raadpleging. In uitzonderlijke gevallen kan de CIU meer dan één gemachtigde persoon toestaan gerubriceerde informatie te raadplegen, op voorwaarde dat de machtigingsgraad en de noodzaak tot kennisname voor alle personen in de ruimte gelijk is. Er mogen maximaal vier personen tegelijkertijd vertrouwelijke informatie raadplegen. De aanwezigheid van CIU-personeel wordt versterkt.
g): beveiligde technische ruimten voor het bewaren van alle technische apparatuur die verband houdt met de beveiliging van de beveiligde zones en de beveiligde IT-servers.

20

De beveiligde zone voldoet aan de toepasselijke internationale beveiligingsnormen en is gecertificeerd door het directoraat Veiligheid en risicobeoordeling. De beveiligde zone voorziet in de volgende minimumvoorschriften met betrekking tot beveiliging en techniek:

a): alarm- en bewakingssystemen;
b): veiligheidsapparatuur- en noodsystemen (waarschuwingssysteem in twee richtingen);
c): een gesloten tv-circuit;
d): indringerdetectiesystemen;
e): toegangscontrole (met inbegrip van een biometrisch beveiligingssysteem);
f): containers;
g): kluisjes;
h): anti-elektromagnetische bescherming.

21

Indien aanvullende technische beveiligingsmaatregelen nodig zijn, kunnen zij worden toegevoegd door de SAA, in nauwe samenwerking met de CIU en na goedkeuring van de veiligheidsinstantie.

22

De infrastructuurapparatuur kan worden gekoppeld aan de algemene beheerssystemen van het gebouw waarin de beveiligde zone zich bevindt. De beveiligingsapparatuur voor toegangscontrole en voor de CIS blijven echter los staan van alle andere soortgelijke apparatuur binnen het Europees Parlement.

H. Inspectie van de beveiligde zone

23

De SAA voert regelmatig en op verzoek van de CIU inspecties van de beveiligde zone uit.

24

De SAA stelt, in overeenstemming met de instructies voor behandeling, een controlelijst voor beveiligingsinspecties op met de punten die tijdens een inspectie moeten worden geverifieerd, en houdt deze lijst bij.

I. Vervoer van vertrouwelijke informatie

25

Vertrouwelijke informatie wordt uit het zicht vervoerd, zonder enige indicatie over de vertrouwelijke aard van de inhoud ervan, in overeenstemming met de instructies voor behandeling.

26

Alleen bodes of personeel met de passende veiligheidsmachtiging mogen informatie bij zich dragen die als ‘CONFIDENTIEL UE/CONFIDENTIEL EU’, ‘SECRET UE/EU SECRET’ of ‘TRÈS SECRET UE/EU TOP SECRET’ of op een gelijkwaardig niveau is gerubriceerd.

27

Vervoer van vertrouwelijke infpormatie per externe post of met de hand buiten een gebouw gebeurt altijd in overeenstemming met de voorwaarden die zijn vastgelegd in de instructies voor behandeling.

28

Informatie die als ‘CONFIDENTIEL UE/CONFIDENTIEL EU’, ‘SECRET UE/EU SECRET’ of ‘TRÈS SECRET UE/EU TOP SECRET’ of op een gelijkwaardig niveau is gerubriceerd, wordt nooit per e-mail of fax verstuurd, zelfs niet wanneer er een beveiligd e-mailsysteem of cryptofax is geïnstalleerd. Informatie die als ‘RESTREINT UE/EU RESTRICTED’ of op een gelijkwaardig niveau is gerubriceerd mag, evenals andere vertrouwelijke informatie, via e-mail worden verzonden indien een geaccrediteerd versleutelingssysteem wordt gebruikt.

J. Opslag van vertrouwelijke informatie

29

De rubricerings- of markeringsgraad die aan de informatie wordt toegekend, bepaalt welk beschermingsniveau van toepassing is ten aanzien van de opslag ervan. De informatie wordt opgeslagen in voor deze doelstelling gecertificeerde apparatuur, in overeenstemming met de instructies voor behandeling.

30

Informatie die als ‘RESTREINT UE/EU RESTRICTED’ of op een gelijkwaardig niveau is gerubriceerd en ‘andere vertrouwelijke informatie’ wordt:

a): wanneer zij niet wordt gebruikt opgeslagen in een reglementaire, stalen, vergrendelde kast, binnen een kantoor of een werkplek;
b): niet onbeheerd achtergelaten, tenzij zij naar behoren is opgeborgen en vergrendeld;
c): niet achtergelaten op een bureau, tafel enzovoorts op een manier dat niet-gemachtigde personen, zoals bezoekers en schoonmaak- of onderhoudspersoneel, de informatie kunnen lezen of meenemen;
d): niet getoond aan of besproken met niet-gemachtigde personen.

31

Informatie die als ‘RESTREINT UE/EU RESTRICTED’ of op een gelijkwaardig niveau is gerubriceerd, en ‘andere vertrouwelijke informatie’, wordt overeenkomstig de instructies voor behandeling enkel opgeslagen binnen het secretariaat van het parlementaire orgaan/de parlementaire ambtsdrager, of binnen de CIU;

32

Informatie die als ‘CONFIDENTIEL UE/CONFIDENTIEL EU’, ‘SECRET UE/EU SECRET’ of ‘TRÈS SECRET UE/EU TOP SECRET’ of op een gelijkwaardig niveau is gerubriceerd, wordt:

a): in een beveiligde zone opgeslagen in een beveiligde container of in een kluis. Bij wijze van uitzondering, bijvoorbeeld als de CIU gesloten is, mag de informatie worden opgeslagen in een goedgekeurde en gecertificeerde kluis binnen de veiligheidsdiensten;
b): op geen enkel moment onbeheerd binnen de beveiligde zone achtergelaten, zonder dat zij eerst in een goedgekeurde kluis is opgeborgen (zelfs voor een zeer korte afwezigheid);
c): niet achtergelaten op een bureau, tafel enzovoorts op dusdanige wijze dat niet-gemachtigde personen de informatie kunnen lezen of meenemen, zelfs wanneer het bevoegde personeelslid van de CIU in de ruimte blijft.

Wanneer binnen de beveiligde zone een document met gerubriceerde informatie in elektronische vorm wordt opgesteld, wordt de computer vergrendeld en het scherm ontoegankelijk gemaakt zodra de schrijver van het document of het bevoegde personeelslid van de CIU de ruimte verlaat (zelfs voor een zeer korte afwezigheid). Een automatisch veiligheidsslot dat na enkele minuten wordt geactiveerd, is geen toereikende maatregel.

Veiligheidsmededeling 5. Industriële beveiliging

A. Inleiding

1

Deze veiligheidsmededeling heeft enkel betrekking op vertrouwelijke informatie.

2

Zij bevat bepalingen voor de toepassing van de gemeenschappelijke minimumnormen van bijlage I, deel 1, van dit besluit.

3

Industriële veiligheid is de toepassing van maatregelen om de bescherming van gerubriceerde informatie door contractanten of subcontractanten tijdens precontractuele onderhandelingen en tijdens de volledige looptijd van gerubriceerde opdrachten te waarborgen. In het kader van dergelijke opdrachten mag geen toegang worden verleend tot informatie met de rubricering ‘TRÈS SECRET UE/EU TOP SECRET’.

4

Het Europees Parlement zorgt er als aanbestedende instantie voor dat aan de in dit besluit en in de gerubriceerde opdrachten vervatte minimumnormen voor industriële veiligheid is voldaan bij het plaatsen van gerubriceerde opdrachten bij industriële of andere entiteiten.

B. Beveiligingselementen in een gerubriceerde opdracht

B.1. Gids voor beveiligingsrubricering (GBR)

5

Alvorens een aanbesteding uit te schrijven of een gerubriceerde opdracht te gunnen, bepaalt het Europees Parlement als aanbestedende instantie welke rubricering wordt gegeven aan gegevens die aan inschrijvers en contractanten moeten worden verstrekt, en welke rubricering wordt gegeven aan gegevens die de contractant zal genereren. Voor dat doel stelt het een gids voor beveiligingsrubricering (GBR) op die bij de uitvoering van de opdracht moet worden gebruikt.

6

Voor het bepalen van de rubriceringsgraad van de diverse onderdelen van een gerubriceerde opdracht gelden onderstaande beginselen:

a): bij het opstellen van een GBR houdt het Europees Parlement rekening met alle ter zake doende beveiligingsaspecten, zoals de rubricering die is gegeven aan informatie die is verstrekt en goedgekeurd door de opsteller van de informatie voor gebruik met betrekking tot de opdracht;
b): de algehele rubriceringsgraad van de opdracht kan niet lager zijn dan de hoogste rubriceringsgraad van een van haar onderdelen.

B.2. Memorandum over de beveiligingsaspecten (MBA)

7

De specifieke beveiligingseisen voor de opdracht worden beschreven in een memorandum over de beveiligingsaspecten (MBA). Het MBA bevat in voorkomend geval de GBR en maakt integraal deel uit van een gerubriceerde opdracht of opdracht in onderaanneming.

8

Het MBA bevat bepalingen die de contractant en/of de subcontractant verplichten zich te houden aan de minimumbeveiligingsnormen in dit besluit. Niet-naleving van deze minimumnormen kan voldoende reden zijn voor opzegging van de opdracht.

B.3. Programma-/projectbeveiligingsinstructies (PBI)

9

Afhankelijk van het toepassingsgebied van programma's of projecten waarvoor toegang tot of verwerking of opslag van EUCI nodig is, kan de aanbestedende instantie die het programma of het project zal beheren, specifieke programma-/projectbeveiligingsinstructies (PBI) opstellen.

C. Veiligheidsmachtiging voor een vestiging (VMV)

10

Een VMV wordt verleend door de nationale veiligheidsinstantie of een andere bevoegde instantie van een lidstaat en toont overeenkomstig de nationale wetten en regelgeving aan dat een industriële of andere entiteit binnen haar vestigingen in staat is gerubriceerde EUCI te beschermen die als ‘CONFIDENTIEL UE/EU CONFIDENTIAL’ of ‘SECRET UE/EU SECRET’ of op een gelijkwaardig niveau is gerubriceerd. Voordat aan een contractant of subcontractant of mogelijke contractant of subcontractant EUCI mag worden verstrekt of toegang tot EUCI mag worden verleend, wordt een bewijs van de VMV overgelegd aan het Europees Parlement, als aanbestedende instantie.

11

In het kader van een VMV wordt:

a): de integriteit van de industriële of andersoortige entiteit geëvalueerd;
b): de verantwoordelijkheid geëvalueerd, evenals de controle of de ontvankelijkheid voor ongewenste invloed, die als een veiligheidsrisico kan worden beschouwd;
c): nagegaan of de industriële of andere entiteit in de vestiging een beveiliging heeft geïnstalleerd die alle passende beveiligingsmaatregelen omvat die nodig zijn voor het beschermen van informatie of materiaal met rubriceringsniveau ‘CONFIDENTIEL UE/EU CONFIDENTIAL’ of ‘SECRET UE/EU SECRET’, overeenkomstig de in dit besluit vastgelegde vereisten;
d): nagegaan of de personeelsveiligheidsstatus van management, eigenaars en werknemers die toegang moeten hebben tot informatie met rubriceringsniveau ‘CONFIDENTIEL UE/EU CONFIDENTIAL’ of ‘SECRET UE/EU SECRET’, voldoet aan de in dit besluit vastgelegde vereisten;
e): nagegaan of de industriële of andere entiteit een vestigingsbeveiligingsfunctionaris heeft benoemd die tegenover het management verantwoordelijk is voor de handhaving van de veiligheidsverplichtingen in de entiteit.

12

In voorkomend geval deelt het Europees Parlement, als aanbestedende instantie, de nationale veiligheidsinstantie of een andere bevoegde veiligheidsinstantie mee dat in de precontractuele fase of voor de uitvoering van de opdracht een VMV vereist is. Een VMV of een persoonlijke veiligheidsmachtiging (PVM) wordt verlangd in de precontractuele fase waarin informatie met rubricering ‘CONFIDENTIEL UE/EU CONFIDENTIAL’ of ‘SECRET UE/EU SECRET’ moet worden verstrekt in het stadium van de offertes.

13

De aanbestedende instantie kent geen gerubriceerde opdracht toe aan een geselecteerde inschrijver zonder van de nationale veiligheidsinstantie of een andere bevoegde veiligheidsinstantie van de lidstaat waar de contractant of subcontractant is geregistreerd, een bevestiging te hebben ontvangen dat er, indien zulks vereist is, een VMV is afgegeven.

14

De bevoegde veiligheidsinstantie die een VMV heeft afgegeven brengt het Europees Parlement, de aanbestedende instantie, op de hoogte van wijzigingen die de VMV betreffen. Bij onderaanneming wordt de bevoegde veiligheidsinstantie op de hoogte gebracht.

15

Intrekking van een VMV door de nationale veiligheidsinstantie of een andere bevoegde veiligheidsinstantie biedt het Europees Parlement, de aanbestedende instantie, voldoende redenen om een gerubriceerde opdracht te beëindigen of een inschrijver uit te sluiten van mededinging.

D. Gerubriceerde opdrachten en onderaanneming

16

Wanneer in de precontractuele fase gerubriceerde informatie wordt verstrekt aan een inschrijver, bevat de uitnodiging tot inschrijving een bepaling die de inschrijver die uiteindelijk geen offerte doet, of die niet wordt geselecteerd, verplicht alle gerubriceerde documenten binnen een bepaalde termijn terug te zenden.

17

Zodra een gerubriceerde opdracht of opdracht in onderaanneming is gegund, deelt het Europees Parlement, als aanbestedende instantie, de nationale veiligheidsinstantie van de contractant of subcontractant en/of een andere bevoegde veiligheidsinstantie de beveiligingsbepalingen van de gerubriceerde opdracht mee.

18

Na afloop van zulke opdrachten, deelt het Europees Parlement, als aanbestedende dienst (en/of, bij onderaanneming, de bevoegde veiligheidsinstantie, naargelang het geval) dit mee aan de nationale veiligheidsinstantie of een andere bevoegde veiligheidsinstantie van de lidstaat waar de contractant of subcontractant is geregistreerd.

19

Als algemene regel geldt dat de contractant of subcontractant alle gerubriceerde informatie die hij in zijn bezit heeft, na voltooiing van de gerubriceerde opdracht of onderaanneming moet terugbezorgen aan de aanbestedende instantie.

20

In het MBA worden specifieke bepalingen opgenomen voor het verwijderen van gerubriceerde informatie tijdens de uitvoering van een opdracht of bij de voltooiing ervan.

21

Wanneer de contractant of subcontractant gemachtigd is gerubriceerde informatie te houden na voltooiing van een opdracht, blijven de minimumnormen van dit besluit van toepassing en wordt de vertrouwelijkheid van gerubriceerde informatie door de contractant of subcontractant beschermd.

22

De voorwaarden waaronder een contractant een beroep kan doen op subcontractanten worden in de aanbesteding en de opdracht omschreven.

23

Een contractant krijgt van het Europees Parlement, als aanbestedende instantie, toestemming voordat hij delen van een gerubriceerde opdracht uitbesteedt aan een onderaannemer. Industriële of andere entiteiten die geregistreerd zijn in een derde land dat geen informatiebeveiligingsovereenkomst met de Europese Unie heeft, mogen niet als subcontractant worden ingeschakeld.

24

Het is de verantwoordelijkheid van de contractant te garanderen dat alle onderaannemingsactiviteiten verlopen in overeenstemming met de minimumnormen van dit besluit en de contractant mag geen gerubriceerde EU-informatie doorgeven aan een subcontractant zonder voorafgaande schriftelijke toestemming van de aanbestedende instantie.

25

Wat betreft gerubriceerde informatie die door de contractant of subcontractant wordt gegenereerd of verwerkt, oefent de aanbestedende instantie de rechten van de opsteller uit.

E. Bezoeken in verband met gerubriceerde oprachten

26

Wanneer het Europees Parlement, contractanten of subcontractanten voor de uitvoering van een gerubriceerde opdracht in elkaars ruimten toegang vragen tot als ‘CONFIDENTIEL UE/EU CONFIDENTIAL’ of ‘SECRET UE/EU SECRET’ gerubriceerde informatie, worden in overleg met de nationale veiligheidsinstanties of een andere bevoegde veiligheidsinstantie bezoeken georganiseerd. In het kader van specifieke projecten kunnen de nationale veiligheidsinstanties echter ook een procedure overeenkomen waarmee zulke bezoeken rechtstreeks kunnen worden georganiseerd.

27

Alle bezoekers beschikken over een passende personeelsveiligheidsmachtiging en hebben een noodzaak tot kennisname voor toegang tot de gerubriceerde informatie met betrekking tot de opdracht van het Europees Parlement.

28

Bezoekers krijgen uitsluitend toegang tot de gerubriceerde informatie die verband houdt met het doel van het bezoek.

F. Overdracht en vervoer van gerubriceerde informatie

29

Op de overdracht van gerubriceerde informatie met elektronische middelen zijn de desbetreffende bepalingen van veiligheidsmededeling 3 van toepassing.

30

Op het vervoer van gerubriceerde informatie zijn de desbetreffende bepalingen van veiligheidsmededeling 4 en de desbetreffende instructies voor behandeling van toepassing.

31

Wat het vervoer van gerubriceerd materiaal als vracht betreft, worden bij het opstellen van beveiligingsregelingen de volgende beginselen toegepast:

a): de beveiliging wordt tijdens alle fasen van het vervoer gewaarborgd, van het punt van oorsprong tot de eindbestemming;
b): de mate van bescherming die aan een zending wordt verleend, wordt bepaald door de hoogste rubriceringsgraad van het materiaal dat zij bevat;
c): er wordt een VMV op het passende niveau verkregen voor de ondernemingen die het vervoer verzorgen. In dat geval moeten de personeelsleden die de zending verwerken, in overeenstemming met bijlage I een veiligheidsonderzoek ondergaan;
d): vóór iedere grensoverschrijdende verplaatsing van materiaal dat als ‘CONFIDENTIEL UE/EU CONFIDENTIAL’, ‘SECRET UE/EU SECRET’ of op een gelijkwaardig niveau is gerubriceerd, stelt de verzender een vervoerplan op, dat wordt goedgekeurd door de secretaris-generaal;
e): de reizen geschieden zoveel mogelijk vanuit een gegeven startpunt tot een gegeven bestemming, en worden zo snel als de omstandigheden toelaten uitgevoerd;
f): waar mogelijk leiden de routen door het grondgebied van lidstaten.

G. Overdracht van gerubriceerde informatie naar contractanten in derde landen

32

Gerubriceerde informatie wordt overgedragen aan contractanten en subcontractanten in derde landen overeenkomstig de beveiligingsmaatregelen die zijn overeengekomen door het Europees Parlement, als aanbestedende dienst, en de derde staat in kwestie waar de contractant is geregistreerd.

H. Behandeling en opslag van informatie met rubricering ‘restreint ue/eu restricted’

33

Samen, waar nodig, met de nationale veiligheidsinstantie van de betrokken lidstaat, is het Europees Parlement, als aanbestedende instantie, op basis van contractuele bepalingen gerechtigd bezoeken af te leggen aan vestigingen van contractanten/subcontractanten om na te gaan of, zoals in de opdracht wordt vereist, de beveiligingsmaatregelen ter zake zijn getroffen voor de bescherming van gerubriceerde EUCI van het niveau ‘RESTREINT UE/EU RESTRICTED’.

34

Voor zover dat nodig is volgens de nationale wet- en regelgeving, worden nationale veiligheidsinstanties of andere bevoegde veiligheidsinstanties door het Europees Parlement, als aanbestedende dienst, in kennis gesteld van opdrachten of opdrachten in onderaanneming die informatie met de rubricering ‘RESTREINT UE/EU RESTRICTED’ bevatten.

35

Een VMV of een PMV voor contractanten of subcontractanten en hun personeel is niet vereist voor opdrachten van het Europees Parlement, die als ‘RESTREINT UE/EU RESTRICTED’ gerubriceerde informatie bevatten.

36

Het Europees Parlement bestudeert, als aanbestedende dienst, de reacties op de uitnodigingen tot inschrijving voor opdrachten waarvoor toegang tot als ‘RESTREINT UE/EU RESTRICTED’ gerubriceerde informatie nodig is, ongeacht eventuele vereisten met betrekking tot VMV's of PMV's uit hoofde van nationale wet- en regelgeving.

37

De voorwaarden waaronder een contractant een beroep kan doen op subcontractanten worden in de aanbesteding en de opdracht omschreven.

38

Wanneer een opdracht de verwerking van informatie met rubricering ‘RESTREINT UE/EU RESTRICTED’ in een door een contractant geëxploiteerd CIS behelst, zorgt het Europees Parlement, als aanbestedende dienst, ervoor dat in het contract of de onderaanneming de nodige technische en administratieve eisen worden gespecificeerd met betrekking tot de homologatie van het CIS in overeenstemming met het ingeschatte risico, rekening houdend met alle belangrijke factoren. Hoe ver de homologatie van een dergelijk CIS reikt, wordt door de aanbestedende dienst en de betrokken nationale veiligheidsinstantie bepaald.

Veiligheidsmededeling 6. Inbreuk op de beveiliging, verlies of compromittering van gerubriceerde informatie

1

Een inbreuk op de veiligheidsvoorschriften is het resultaat van een handeling of een nalatigheid, in strijd met dit besluit, die vertrouwelijke informatie in gevaar kan brengen of compromitteren.

2

Compromittering van vertrouwelijke informatie doet zich voor wanneer het zeker of aannemelijk is dat zulke gegevens geheel of gedeeltelijk in het bezit zijn gekomen van onbevoegden, d.w.z. personen die geen machtiging of noodzaak tot kennisname hebben.

3

Vertrouwelijke informatie kan gecompromitteerd zijn als gevolg van slordigheid, onachtzaamheid of indiscretie, alsmede door activiteiten van diensten die gericht zijn tegen de EU of door subversieve organisaties.

4

Indien de secretaris-generaal een bewezen of vermoedelijke veiligheidsinbreuk of het verlies of de compromittering van vertrouwelijke informatie ontdekt of daarvan in kennis wordt gesteld, doet hij het nodige om:

a): de feiten vast te stellen;
b): de aangerichte schade te beoordelen en te beperken;
c): herhaling te voorkomen;
d): de bevoegde autoriteit van het derde land of de lidstaat waarvan de vertrouwelijke informatie afkomstig is of dat de vertrouwelijke informatie heeft doorgestuurd, op de hoogte te stellen.

Wanneer er een lid van het Europees Parlement bij een en ander is betrokken, treedt de secretaris-generaal samen met de Voorzitter van het Europees Parlement op.

Wanneer de informatie is ontvangen van de andere instellingen van de Unie, treedt de secretaris-generaal op in overeenstemming met de toepasselijke beveiligingsmaatregelen voor gerubriceerde informatie en de regelingen die zijn vastgesteld in het kader van het Kaderakkoord met de Commissie of de Interinstitutioneeel Akkoord met de Raad.

5

Alle personen die met vertrouwelijke informatie in aanraking komen, worden grondig geïnformeerd over veiligheidsprocedures, de gevaren van indiscrete gesprekken en hun betrekkingen met de media, en ondertekenen indien toepasselijk een verklaring dat zij de inhoud van de vertrouwelijke informatie niet zullen vrijgeven aan derden, dat zij de verplichting gerubriceerde informatie te beschermen zullen nakomen, en dat zij de gevolgen van eventuele niet-nakoming daarvan zullen aanvaarden. Toegang tot en gebruik van gerubriceerde informatie door een persoon die niet is geïnformeerd en die de bijbehorende verklaring niet heeft ondertekend, wordt als een inbreuk op de veiligheidsvoorschriften beschouwd.

6

Leden en ambtenaren van het Europees Parlement en andere parlementaire medewerkers die in dienst van een fractie zijn of contractanten, stellen de secretaris-generaal onmiddellijk op de hoogte van iedere inbreuk op de beveiligingsvoorschriften, ieder verlies of iedere compromittering van vertrouwelijke informatie waarvan zij kennis krijgen.

7

Eenieder die verantwoordelijk is voor het compromitteren van vertrouwelijke informatie stelt zich bloot aan disciplinaire maatregelen, overeenkomstig de geldende regels en voorschriften. Deze maatregelen sluiten verdere gerechtelijke actie niet uit, in overeenstemming met de geldende wetten.

8

Inbreuken die zijn begaan door ambtenaren van het Europees Parlement en andere parlementaire medewerkers die in dienst van een fracties zijn leiden, zonder verdere gerechtelijke actie uit te sluiten, tot de toepassing van de procedures en sancties die in titel VI van het Statuut zijn vastgelegd.

9

Onverminderd verdere gerechtelijke actie, worden inbreuken die zijn begaan door leden van het Europees Parlement, behandeld in overeenstemming met artikel 10, lid 5, en de artikelen 182, 183 en 184 van het Reglement van het Europees Parlement.