►B

BESCHLUSS DES RATES

vom 19. März 2001

über die Annahme der Sicherheitsvorschriften des Rates

(2001/264/EG)

(ABl. L 101, 11.4.2001, p.1)

Amtsblatt

  No

page

date

 M1

BESCHLUSS DES RATES vom 10. Februar 2004

  L 63

48

28.2.2004

►M2

BESCHLUSS DES RATES vom 12. Juli 2005

  L 193

31

23.7.2005

►M3

BESCHLUSS DES RATES vom 20. Dezember 2005

  L 346

18

29.12.2005

1.

Die vorliegenden Bestimmungen enthalten die Grundprinzipien und Mindeststandards für die Sicherheit, die vom Rat, dem Generalsekretariat des Rates, den Mitgliedstaaten und den dezentralen Einrichtungen der Europäischen Union (nachstehend „dezentrale EU-Einrichtungen“ genannt) in angemessener Weise einzuhalten sind, damit die Sicherheit gewährleistet ist und darauf vertraut werden kann, dass ein gemeinsamer Sicherheitsstandard herrscht.

2.

Unter „EU-Verschlusssachen“ sind alle Informationen und Materialien zu verstehen, deren unerlaubte Weitergabe den Interessen der EU oder eines oder mehrerer ihrer Mitgliedstaaten in unterschiedlichem Maße Schaden zufügen könnte, unabhängig davon, ob es sich um ursprüngliche EU-Verschlusssachen handelt oder um Verschlusssachen, die von Mitgliedstaaten, Drittländern oder internationalen Organisationen stammen.

3.

Im gesamten Text dieser Sicherheitsvorschriften bedeutet

4.

Die Hauptziele im Bereich der Sicherheit sind:

5.

Die Grundlagen für die Schaffung einer soliden Sicherheitslage sind

6.

Im Bereich der Geheimhaltung muss bei der Auswahl der schutzbedürftigen Informationen und Materialien und bei der Bewertung des Ausmaßes des erforderlichen Schutzes mit Sorgfalt vorgegangen und auf Erfahrungen zurückgegriffen werden. Es ist von entscheidender Bedeutung, dass das Ausmaß des Schutzes der Sicherheitsrelevanz der zu schützenden Informationen und Materialien entspricht. Im Interesse eines reibungslosen Informationsflusses muss dafür gesorgt werden, dass eine zu hohe Einstufung von Verschlusssachen vermieden wird. Das Einstufungssystem ist das Instrument, mit dem diesen Grundsätzen Wirkung verliehen wird; ein entsprechendes Einstufungssystem sollte bei der Planung und Organisierung von Maßnahmen zur Bekämpfung von Spionage, Sabotage, Terrorismus und anderen Arten der Bedrohung angewandt werden, so dass die wichtigsten Gebäude, in denen Verschlusssachen aufbewahrt werden, und die sensibelsten Punkte innerhalb dieser Gebäude auch den größten Schutz erhalten.

7.

Die Sicherheitsmaßnahmen sollen

8.

Der Rat und jeder Mitgliedstaat sorgen dafür, dass gemeinsame Mindeststandards für die Sicherheit von allen Verwaltungs- und/oder Regierungsstellen, anderen EU-Organen und EU-Einrichtungen sowie den Vertragspartnern der EU eingehalten werden, so dass bei der Weitergabe von EU-Verschlusssachen darauf vertraut werden kann, dass diese mit derselben Sorgfalt behandelt werden. Zu diesen Mindeststandards gehören Kriterien für die Sicherheitsüberprüfung des Personals und Verfahren zum Schutz von EU-Verschlusssachen. ►M3  Diese Mindestnormen schließen auch Mindestnormen ein, die anzuwenden sind, wenn das Generalsekretariat des Rates industrielle oder andere Einrichtungen vertraglich mit Aufgaben betraut, bei denen EU-Verschlusssachen herangezogen werden, gebraucht werden und/oder mit eingeschlossen sind: diese gemeinsamen Mindestnormen sind in Teil II Abschnitt XIII enthalten. ◄

9.

Alle Personen, die Zugang zu Informationen erhalten wollen, die als „CONFIDENTIEL UE“ oder höher eingestuft sind, werden einer Sicherheitsüberprüfung unterzogen, bevor sie eine Zugangsermächtigung erhalten. Eine entsprechende Sicherheitsüberprüfung wird auch im Falle von Personen vorgenommen, zu deren Aufgaben der technische Betrieb oder die Wartung von Kommunikations- und Informationssystemen gehört, die Verschlusssachen enthalten. Bei der Sicherheitsüberprüfung soll festgestellt werden, ob die genannten Personen

Besonders gründlich ist die Sicherheitsüberprüfung bei Personen vorzunehmen, die

In den unter den Buchstaben d), e) und f) genannten Fällen soll soweit als nur möglich auf die Methode der Umfeldermittlung zurückgegriffen werden.

10.

Werden Personen, für die die Notwendigkeit einer Kenntnis von Verschlusssachen nicht klar erwiesen ist, unter Umständen beschäftigt, unter denen sie Zugang zu EU-Verschlusssachen erhalten könnten (z. B. Boten, Sicherheitsbedienstete, Wartungs- und Reinigungspersonal usw.), so sind sie zuerst einer Sicherheitsüberprüfung zu unterziehen.

11.

Alle Dienststellen, Gremien oder Einrichtungen, die mit EU-Verschlusssachen zu tun haben oder jeweils entscheidend wichtige Kommunikations- oder Informationssysteme verwalten, führen ein Verzeichnis der Zugangsermächtigungen des bei ihnen arbeitenden Personals. Jede Zugangsermächtigung ist erforderlichenfalls zu überprüfen, um sicherzustellen, dass sie der derzeitigen Tätigkeit der betreffenden Person entspricht; sie ist vorrangig zu überprüfen, wenn neue Informationen eingehen, denen zufolge eine weitere Beschäftigung dieser Person mit Verschlusssachen nicht länger mit den Sicherheitsinteressen vereinbar ist. Das Verzeichnis der Zugangsermächtigungen ist vom Geheimschutzbeauftragten der jeweiligen Dienststelle, des jeweiligen Gremiums beziehungsweise der jeweiligen Einrichtung zu führen.

12.

Alle Angehörigen des Personals, die Stellen bekleiden, an denen sie Zugang zu Verschlusssachen erhalten könnten, sind bei Aufnahme ihrer Tätigkeit und danach in regelmäßigen Abständen eingehend über die Notwendigkeit von Sicherheitsbestimmungen und über die Verfahren zu ihrer Durchführung zu unterrichten. Es ist nützlich, von allen Angehörigen des Personals eine schriftliche Bestätigung zu verlangen, dass sie die für ihre Arbeit relevanten Sicherheitsbestimmungen in vollem Umfang verstehen.

13.

Führungskräfte haben die Pflicht, sich Kenntnis darüber zu verschaffen, welche ihrer Mitarbeiter mit Verschlusssachen zu tun haben oder über einen Zugang zu jeweils entscheidend wichtigen Kommunikations- oder Informationssystemen verfügen, sowie alle Vorfälle oder offensichtlichen Schwachpunkte von Personen, die sicherheitsrelevant sein könnten, festzuhalten und darüber zu berichten.

14.

Es sind Verfahren vorzusehen, um dafür zu sorgen, dass bei Bekanntwerden nachteiliger Informationen über eine Person festgestellt wird, ob diese Person mit Verschlusssachen zu tun hat oder über einen Zugang zu jeweils entscheidend wichtigen Kommunikations- oder Informationssystemen verfügt, und dass die betreffende Dienststelle hiervon unterrichtet wird. Ist klar erwiesen, dass die fragliche Person ein Sicherheitsrisiko darstellt, ist sie von Aufgaben, bei denen sie die Sicherheit gefährden könnte, auszuschließen oder fern zu halten.

15.

Das Ausmaß der anzuwendenden Maßnahmen des materiellen Geheimschutzes zur Gewährleistung des Schutzes von EU-Verschlusssachen muss in angemessenem Verhältnis zum Geheimhaltungsgrad, zum Umfang und zur Bedrohung der entsprechenden Informationen und Materialien stehen. Es ist daher darauf zu achten, dass weder eine zu hohe noch eine zu niedrige Einstufung vorgenommen wird und dass die Einstufung regelmäßig überprüft wird. Alle Personen, die EU-Verschlusssachen verwahren, haben einheitliche Praktiken bei der Einstufung der Informationen anzuwenden und gemeinsame Schutzstandards für die Verwahrung, Übermittlung und Vernichtung schutzbedürftiger Informationen und Materialien zu beachten.

16.

Personen, die Bereiche, in denen sich ihnen anvertraute EU-Verschlusssachen befinden, unbeaufsichtigt lassen, müssen dafür sorgen, dass die Verschlusssachen sicher aufbewahrt und alle Sicherungsvorkehrungen (Schlösser, Alarm usw.) aktiviert worden sind. Weitere hiervon unabhängige Kontrollen sind nach den Dienststunden durchzuführen.

17.

Gebäude, in denen sich EU-Verschlusssachen oder entscheidend wichtige Kommunikations- und Informationssysteme befinden, sind gegen unerlaubten Zutritt zu schützen. Die Art der Schutzmaßnahmen für EU-Verschlusssachen (z. B. Vergitterung von Fenstern, Schlösser an Türen, Wachen am Eingang, automatische Zugangskontrollsysteme, Sicherheitskontrollen und Rundgänge, Alarmsysteme, Einbruchmeldesysteme und Wachhunde) hängt von folgenden Faktoren ab:

18.

Die Art der Schutzmaßnahmen für Kommunikations- und Informationssysteme hängt in ähnlicher Weise von folgenden Faktoren ab: Einschätzung des Wertes der betreffenden Objekte und der Höhe des im Falle einer Kenntnisnahme durch Unbefugte eventuell entstehenden Schadens; Beschaffenheit und Lage des Gebäudes, in dem das System untergebracht ist; Ort, an dem sich das System innerhalb des Gebäudes befindet.

19.

Es sind detaillierte Pläne auszuarbeiten, um im Falle eines örtlichen oder nationalen Notstands auf den Schutz von Verschlusssachen vorbereitet zu sein.

20.

INFOSEC betrifft die Festlegung und Anwendung von Sicherheitsmaßnahmen, mit denen in Kommunikations-, Informations- und sonstigen elektronischen Systemen bearbeitete, gespeicherte oder übermittelte Verschlusssachen davor geschützt werden sollen, versehentlich oder absichtlich in die Hände von Unbefugten zu gelangen bzw. ihre Integrität oder Verfügbarkeit zu verlieren. Es sind geeignete Gegenmaßnahmen zu ergreifen, um zu verhindern, dass unbefugte Nutzer Zugang zu EU-Informationen erhalten, befugten Nutzern der Zugang zu EU-Informationen verweigert wird oder es zu einer Verfälschung, unbefugten Änderung oder Löschung von EU-Informationen kommt.

21.

Vorsichtsmaßnahmen im Bereich des Objektschutzes zum Schutz wichtiger Einrichtungen, in denen Verschlusssachen untergebracht sind, sind die besten Sicherheitsgarantien gegen Sabotage und vorsätzliche Beschädigungen; eine Sicherheitsüberprüfung des Personals allein ist kein wirklicher Ersatz. Die zuständige einzelstaatliche Stelle hat die Aufgabe, Erkenntnisse über Spionage, Sabotage, Terrorismus und andere subversive Tätigkeiten zusammenzutragen.

22.

Der Beschluss, vom Rat stammende EU-Verschlusssachen an einen Drittstaat oder eine internationale Organisation weiterzugeben, wird vom Rat gefasst. Stammen die Verschlusssachen, um deren Weitergabe ersucht wird, nicht vom Rat, so hat dieser zunächst die Zustimmung des Urhebers der Verschlusssachen einzuholen. Kann dieser Urheber nicht ermittelt werden, so trifft der Rat an seiner Stelle die Entscheidung.

23.

Erhält der Rat Verschlusssachen von Drittstaaten, internationalen Organisationen oder sonstigen Dritten, so werden sie in einer ihrem Geheimhaltungsgrad angemessenen Weise nach Maßgabe der für EU-Verschlusssachen geltenden Standards dieser Vorschriften oder aber höherer Standards, falls diese von der die Verschlusssachen weitergebenden dritten Seite gefordert werden, geschützt. Gegenseitige Kontrollen können vereinbart werden.

24.

Die vorstehend dargelegten Grundprinzipien werden gemäß den detaillierten Vorschriften des Teils II verwirklicht.

1.

Der Generalsekretär/Hohe Vertreter

2.

Der Generalsekretär/Hohe Vertreter ist insbesondere für Folgendes zuständig:

3.

Es wird ein Sicherheitsausschuss eingesetzt. Er besteht aus Vertretern der nationalen Sicherheitsbehörden der einzelnen Mitgliedstaaten. Den Vorsitz im Ausschuss führt der Generalsekretär/Hohe Vertreter bzw. eine von ihm beauftragte Person. Vertreter dezentraler EU-Einrichtungen können eingeladen werden, wenn sie betreffende Fragen erörtert werden.

4.

Der Sicherheitsausschuss tritt gemäß dem vom Rat erteilten Mandat auf Antrag des Generalsekretärs/Hohen Vertreters oder einer nationalen Sicherheitsbehörde zusammen. Er kann alle Sicherheitsfragen prüfen und bewerten, die mit der Arbeit des Rates zu tun haben, und dem Rat gegebenenfalls Empfehlungen vorlegen. Der Ausschuss kann dem Generalsekretär/Hohen Vertreter in Bezug auf die Tätigkeit des Generalsekretariats des Rates Empfehlungen zu Sicherheitsfragen vorlegen.

5.

Dem Generalsekretär/Hohen Vertreter steht für die Wahrnehmung seiner unter den Nummern 1 und 2 genannten Aufgaben das Sicherheitsbüro des Generalsekretariats des Rates für die Koordinierung, Überwachung und Durchführung von Sicherheitsmaßnahmen zur Verfügung.

6.

Der Leiter des Sicherheitsbüros des Generalsekretariats des Rates ist der wichtigste Berater des Generalsekretärs/Hohen Vertreters in Sicherheitsfragen und zugleich Sekretär des Sicherheitsausschusses. In dieser Hinsicht leitet er die Aktualisierung der Sicherheitsvorschriften und koordiniert die Sicherheitsmaßnahmen zusammen mit den zuständigen Behörden der Mitgliedstaaten und gegebenenfalls mit internationalen Organisationen, die Sicherheitsabkommen mit dem Rat geschlossen haben. Er hat hierbei die Rolle eines Verbindungsbeamten.

7.

Der Leiter des Sicherheitsbüros des Generalsekretariats des Rates ist für die Zulassung von IT-Systemen und -netzen im Generalsekretariat des Rates zuständig. Der Leiter des Sicherheitsbüros des Generalsekretariats des Rates und die zuständigen nationalen Sicherheitsbehörden entscheiden gegebenenfalls gemeinsam über die Zulassung von IT-Systemen und -netzen, die das Generalsekretariat des Rates, die Mitgliedstaaten, dezentrale EU-Einrichtungen und/oder Dritte (Staaten oder internationale Organisationen) umfassen.

8.

Jeder Leiter einer dezentralen EU-Einrichtung ist für die Anwendung der Sicherheitsvorschriften in seiner Einrichtung zuständig. Im Regelfall bestimmt er einen seiner Mitarbeiter als den ihm rechenschaftspflichtigen Verantwortlichen für diesen Bereich. Der betreffende Mitarbeiter wird zum Sicherheitsbeauftragten ernannt.

9.

Jeder Mitgliedstaat sollte eine für die Sicherheit von EU-Verschlusssachen zuständige nationale Sicherheitsbehörde benennen ( 5 ).

10.

Innerhalb der Verwaltungsstruktur der einzelnen Mitgliedstaaten sollte die jeweilige nationale Sicherheitsbehörde für Folgendes zuständig sein:

11.

Das Sicherheitsbüro des Generalsekretariats des Rates und die jeweilige nationale Sicherheitsbehörde führen gemeinsam und im gegenseitigen Einvernehmen periodische Inspektionen der Sicherheitsvorkehrungen durch, die zum Schutz von EU-Verschlusssachen im Generalsekretariat des Rates und in den Ständigen Vertretungen der Mitgliedstaaten bei der Europäischen Union sowie in den Räumlichkeiten der Mitgliedstaaten in den Ratsgebäuden getroffen werden ( 6 ).

12.

Das Sicherheitsbüro des Generalsekretariats des Rates oder auf Antrag des Generalsekretärs die nationale Sicherheitsbehörde des Gastlandes führt periodische Inspektionen der Sicherheitsvorkehrungen durch, die zum Schutz von EU-Verschlusssachen in den dezentralen EU-Einrichtungen getroffen werden.

1.

„TRÈS SECRET UE/EU TOP SECRET“: Dieser Geheimhaltungsgrad findet nur auf Informationen und Material Anwendung, deren unbefugte Weitergabe den wesentlichen Interessen der Europäischen Union oder eines oder mehrerer ihrer Mitgliedstaaten einen äußerst schweren Schaden zufügen könnte.

2.

„SECRET UE“: Dieser Geheimhaltungsgrad findet nur auf Informationen und Material Anwendung, deren unbefugte Weitergabe den wesentlichen Interessen der Europäischen Union oder eines oder mehrerer ihrer Mitgliedstaaten schweren Schaden zufügen könnte.

3.

„CONFIDENTIEL UE“: Dieser Geheimhaltungsgrad findet auf Informationen und Material Anwendung, deren unbefugte Weitergabe den wesentlichen Interessen der Europäischen Union oder eines oder mehrerer ihrer Mitgliedstaaten schaden könnte.

4.

„RESTREINT UE“: Dieser Geheimhaltungsgrad findet auf Informationen und Material Anwendung, deren unbefugte Weitergabe für die Interessen der Europäischen Union oder eines oder mehrerer ihrer Mitgliedstaaten nachteilig sein könnte.

5.

Als Warnhinweis dienende Kennzeichnungen können benutzt werden, um den von einem Dokument abgedeckten Bereich oder eine besondere Verteilung gemäß dem Grundsatz „Kenntnis nur wenn nötig“ anzugeben.

6.

Die Kennzeichnung „ESDP“/„PESD“ (= ESVP) ist auf Dokumenten und Kopien von Dokumenten anzubringen, die die Sicherheit und Verteidigung der Union oder eines oder mehrerer ihrer Mitgliedstaaten, oder die militärische oder nichtmilitärische Krisenbewältigung betreffen.

7.

Bestimmte Dokumente, insbesondere Dokumente mit Bezug zu Informationstechnologie (IT)-Systemen, können mit einer zusätzlichen Kennzeichnung versehen werden, die in den entsprechenden Regelungen festgelegte weitere Sicherheitsmaßnahmen zur Folge hat.

8.

Ein Hinweis auf den Geheimhaltungsgrad und sonstige Kennzeichnungen werden wie folgt angebracht:

1.

Informationen sind nur dann als Verschlusssachen einzustufen, wenn dies nötig ist. Der Geheimhaltungsgrad ist klar und korrekt anzugeben und nur so lange beizubehalten, wie die Informationen geschützt werden müssen.

2.

Die Verantwortung für die Festlegung des Geheimhaltungsgrades einer Information und für jede anschließende Herabstufung oder Aufhebung des Geheimhaltungsgrades ( 8 ) liegt allein beim Urheber der Information.

Einstufungen, Herabstufungen oder Aufhebungen des Geheimhaltungsgrades von Verschlusssachen werden von den Beamten und sonstigen Bediensteten des Generalsekretariats des Rates auf Anweisung ihres Generaldirektors oder mit dessen Zustimmung vorgenommen.

3.

Die detaillierten Verfahren für die Behandlung von Verschlusssachen sind so ausgelegt, dass gewährleistet ist, dass die betreffenden Dokumente den ihrem Inhalt entsprechenden Schutz erhalten.

4.

Die Zahl der Personen, die dazu ermächtigt sind, Dokumente des Geheimhaltungsgrades „TRÈS SECRET UE/EU TOP SECRET“ in Umlauf zu bringen, ist möglichst klein zu halten, und ihre Namen sind in einer Liste zu verzeichnen, die vom Generalsekretariat des Rates, von jedem Mitgliedstaat und erforderlichenfalls von jeder dezentralen EU-Einrichtung geführt wird.

1.

Hauptziel der Maßnahmen des materiellen Geheimschutzes ist es, zu verhindern, dass Unbefugte Zugang zu EU-Verschlusssachen erhalten.

2.

Alle Gebäude, Bereiche, Büros, Räume, Kommunikations- und Informationssysteme usw., in denen als EU-Verschlusssache eingestufte Informationen und/oder Material aufbewahrt werden und/oder in denen damit gearbeitet wird, sind durch geeignete Maßnahmen des materiellen Geheimschutzes zu sichern.

3.

Bei der Festlegung des erforderlichen materiellen Geheimschutzniveaus ist allen relevanten Faktoren Rechnung zu tragen, wie beispielsweise

4.

Die Maßnahmen des materiellen Geheimschutzes zielen darauf ab,

5.

Die Bereiche, in denen mit als „CONFIDENTIEL UE“ oder höher eingestuften Verschlusssachen gearbeitet wird oder in denen diese aufbewahrt werden, sind so zu gestalten und auszustatten, dass sie einer der nachstehenden Kategorien entsprechen:

Die Bereiche, die nicht rund um die Uhr von Dienst tuendem Personal besetzt sind, sind unmittelbar nach den üblichen Arbeitszeiten zu inspizieren, um sicherzustellen, dass die EU-Verschlusssachen ordnungsgemäß gesichert sind.

6.

Um die Sicherheitsbereiche der Kategorien I und II herum oder im Zugangsbereich zu ihnen kann ein Verwaltungsbereich mit geringerem Sicherheitsgrad vorgesehen werden. Ein derartiger Bereich erfordert einen deutlich abgegrenzten Raum, der die Kontrolle des Personals und der Fahrzeuge ermöglicht. In den Verwaltungsbereichen darf nur mit als „RESTREINT UE“ eingestuften Verschlusssachen gearbeitet werden und es dürfen auch nur diese Verschlusssachen dort aufbewahrt werden.

7.

Das Betreten der Sicherheitsbereiche der Kategorien I und II wird mittels eines Berechtigungsausweises oder eines Systems zur persönlichen Identifizierung des ständigen Personals kontrolliert. Ferner wird ein Kontrollsystem für Besucher eingerichtet, damit der Zugang Unbefugter zu EU-Verschlusssachen verhindert werden kann. Eine Regelung mit Berechtigungsausweisen kann durch eine automatisierte Erkennung unterstützt werden, die als Ergänzung zum Einsatz des Personals des Sicherheitsdienstes zu verstehen ist, diesen aber nicht vollständig ersetzen kann. Eine Änderung in der Einschätzung der Bedrohungslage kann eine Verschärfung der Ein- und Ausgangskontrollmaßnahmen zur Folge haben, beispielsweise anlässlich des Besuchs hochrangiger Persönlichkeiten.

8.

In Sicherheitsbereichen der Kategorien I und II sind außerhalb der normalen Arbeitszeiten Kontrollgänge durchzuführen, um das Eigentum der EU vor Kenntnisnahme durch Unbefugte, Beschädigung oder Verluste zu schützen. Die Häufigkeit der Kontrollgänge richtet sich nach den örtlichen Gegebenheiten, sie sollten aber in der Regel alle zwei Stunden stattfinden.

9.

Zur Aufbewahrung von EU-Verschlusssachen werden drei Arten von Behältnissen verwendet:

10.

In den in einem Sicherheitsbereich der Kategorie I oder II eingebauten Tresorräumen und in allen Sicherheitsbereichen der Kategorie I, wo als „CONFIDENTIEL UE“ und höher eingestufte Verschlusssachen in offenen Regalen aufbewahrt werden oder auf Karten, Plänen usw. sichtbar sind, werden Wände, Böden und Decken, Türen einschließlich der Schlösser von einer nationalen Sicherheitsbehörde geprüft, um festzustellen, dass sie einen Schutz bieten, der dem Typ des Sicherheitsbehältnisses entspricht, der für die Aufbewahrung von Verschlusssachen desselben Geheimhaltungsgrades zugelassen ist.

11.

Die Schlösser der Sicherheitsbehältnisse und Tresorräume, in denen EU-Verschlusssachen aufbewahrt werden, müssen folgende Anforderungen erfüllen:

12.

Die Schlüssel von Sicherheitsbehältnissen dürfen nicht aus dem Bürogebäude entfernt werden. Die Kombinationen für Sicherheitsbehältnisse sind von den Personen, die sie kennen müssen, auswendig zu lernen. Damit sie im Notfall benutzt werden können, ist der Geheimschutzbeauftragte der betreffenden Stelle für die Aufbewahrung der Ersatzschlüssel und die schriftliche Registrierung aller Kombinationen verantwortlich; letztere sind einzeln in versiegelten, undurchsichtigen Umschlägen aufzubewahren. Die Arbeitsschlüssel, die Ersatzschlüssel und die Kombinationen sind in gesonderten Sicherheitsbehältnissen aufzubewahren. Für diese Schlüssel und Kombinationen ist kein geringerer Sicherheitsschutz vorzusehen als für das Material, zu dem sie den Zugang ermöglichen.

13.

Der Kreis der Personen, die die Kombinationen der Sicherheitsbehältnisse kennen, ist so weit wie möglich zu begrenzen. Die Kombinationen sind zu ändern

14.

Kommen zum Schutz von EU-Verschlusssachen Alarmanlagen, hauseigene Fernsehsysteme und andere elektrische Vorrichtungen zum Einsatz, so ist eine Notstromversorgung vorzusehen, um bei Ausfall der Hauptstromversorgung den ununterbrochenen Betrieb der Anlagen sicherzustellen. Ein weiteres grundlegendes Erfordernis ist das Auslösen eines für das Überwachungspersonal bestimmten Alarmsignals oder anderen verlässlichen Signals bei Funktionsstörungen dieser Anlagen oder Manipulationen an ihnen.

15.

Die nationalen Sicherheitsbehörden unterhalten aktualisierte, nach Typ und Modell gegliederte Verzeichnisse der aus eigenen oder aus bilateralen Quellen stammenden Sicherheitsausrüstung, die sie für den unmittelbaren oder mittelbaren Schutz von Verschlusssachen unter verschiedenen genau bezeichneten Voraussetzungen und Bedingungen zugelassen haben. Das Sicherheitsbüro des Generalsekretariats des Rates unterhält ein entsprechendes Verzeichnis, das unter anderem auf den von den nationalen Sicherheitsbehörden mitgeteilten Informationen beruht. Die dezentralen EU-Einrichtungen konsultieren das Sicherheitsbüro des Generalsekretariats des Rates und gegebenenfalls die nationale Sicherheitsbehörde ihres Sitzmitgliedstaats, bevor sie derartige Ausrüstungen erwerben.

16.

Für Kopier- und Faxgeräte ist im erforderlichen Maß durch Maßnahmen des materiellen Geheimschutzes dafür zu sorgen, dass sie lediglich von befugten Personen verwendet werden können und dass alle Verschlusssachen einer ordnungsgemäßen Überwachung unterliegen.

17.

Es sind alle geeigneten Maßnahmen zu treffen, damit bei Tag und bei Nacht gewährleistet ist, dass EU-Verschlusssachen nicht — auch nicht versehentlich — von Unbefugten eingesehen werden können.

18.

Die Büroräume oder Bereiche, in denen regelmäßig über als „SECRET UE“ und höher eingestufte Verschlusssachen gesprochen wird, sind bei entsprechendem Risiko gegen Ab- und Mithören zu schützen. Für die Einschätzung des Risikos ist die jeweilige Sicherheitsbehörde zuständig, die erforderlichenfalls zuvor die betreffenden nationalen Sicherheitsbehörden zurate zieht.

19.

Zur Festlegung der Schutzmaßnahmen für mithörgefährdete Bereiche (beispielsweise Schalldämpfung von Wänden, Türen, Böden und Decken, Lautstärkemessung) in Bezug auf Mit- bzw. Abhörgefahr bzw. abhörgefährdete Bereiche (beispielsweise Suche nach Mikrofonen), kann das Sicherheitsbüro des Generalsekretariats des Rates die nationalen Sicherheitsbehörden um Unterstützung durch Sachverständige ersuchen. Die Sicherheitsbeauftragten der dezentralen EU-Stellen können darum ersuchen, dass das Sicherheitsbüro des Generalsekretariats des Rates technische Kontrollen durchführt und/oder die nationalen Sicherheitsbehörden sie mit Sachverständigen unterstützen.

20.

Ebenso können die für die technische Sicherheit zuständigen Sachverständigen der nationalen Sicherheitsbehörden erforderlichenfalls die Telekommunikationseinrichtungen und die elektrischen oder elektronischen Büromaschinen aller Art, die in den Sitzungen des Geheimhaltungsgrades „SECRET UE“ und höher verwendet werden, auf Ersuchen des zuständigen Sicherheitsbeauftragten überprüfen.

21.

Bestimmte Bereiche können als Hochsicherheitszonen ausgewiesen werden. Hier findet eine besondere Zutrittskontrolle statt. Diese Zonen bleiben nach einem zugelassenen Verfahren verschlossen, wenn sie nicht besetzt sind, und alle Schlüssel sind als Sicherheitsschlüssel zu behandeln. Diese Zonen unterliegen regelmäßigen Objektschutzkontrollen, die auch durchgeführt werden, wenn festgestellt oder vermutet wird, dass die Zonen ohne Genehmigung betreten wurden.

22.

Es wird eine detaillierte Bestandsaufnahme der Geräte und Möbel vorgenommen, um deren Platzveränderungen zu überwachen. Kein Möbelstück oder Gerät wird in eine dieser Zonen verbracht, bevor es nicht durch Sicherheitspersonal, das für das Aufspüren von Abhörvorrichtungen besonders geschult ist, sorgfältig kontrolliert worden ist. In der Regel sollten in Hochsicherheitszonen möglichst keine Telekommunikationsverbindungen installiert werden.

1.

Der Zugang zu EU-Verschlusssachen wird nur Personen gestattet, die Kenntnis von ihnen haben müssen, um die ihnen übertragenen Aufgaben oder Aufträge erfüllen zu können. Der Zugang zu als „TRÈS SECRET UE/EU TOP SECRET“, „SECRET UE“ und „CONFIDENTIEL UE“ eingestuften Verschlusssachen wird nur Personen gestattet, die der entsprechenden Sicherheitsüberprüfung unterzogen worden sind.

2.

Für die Entscheidung darüber, wer Kenntnis haben muss, sind das Generalsekretariat des Rates, die dezentralen EU-Einrichtungen sowie die Dienststelle oder Behörde des Mitgliedstaats, in der die betreffende Person beschäftigt werden soll, entsprechend den Anforderungen der jeweiligen Aufgabe verantwortlich.

3.

Für die Überprüfung von Personen ist der Arbeitgeber des Beamten nach Maßgabe der einschlägigen geltenden Verfahren verantwortlich. Für die Beamten und sonstigen Bediensteten des Generalsekretariats des Rates ist das Überprüfungsverfahren in Abschnitt VI geregelt.

Am Ende des Verfahrens wird eine „Sicherheitsunbedenklichkeitsbescheinigung“ ausgestellt, in dem der Geheimhaltungsgrad der Verschlusssachen, zu denen die überprüfte Person Zugang erhalten kann, und das Ende der Gültigkeitsdauer der Bescheinigung angegeben werden.

Eine Sicherheitsunbedenklichkeitsbescheinigung für einen bestimmten Geheimhaltungsgrad kann den Inhaber zum Zugang zu Informationen eines niedrigeren Geheimhaltungsgrades berechtigen.

4.

Personen, bei denen es sich nicht um Beamte oder sonstige Bedienstete des Generalsekretariats des Rates oder der Mitgliedstaaten handelt, z. B. Mitglieder, Beamte oder Bedienstete von EU-Institutionen, mit denen möglicherweise EU-Verschlusssachen erörtert werden müssen oder die möglicherweise Einblick in diese erhalten müssen, müssen einer Sicherheitsüberprüfung in Bezug auf EU-Verschlusssachen unterzogen und über ihre Verantwortung für die Sicherheit belehrt worden sein. Die gleiche Regel gilt unter vergleichbaren Umständen für externe Auftragnehmer, Sachverständige oder Berater.

1.

Nur Beamte und sonstige Bedienstete des Generalsekretariats des Rates oder andere beim Generalsekretariat des Rates tätige Personen, die aufgrund ihrer Aufgabenbereiche und dienstlicher Erfordernisse von den vom Rat verwahrten Verschlusssachen Kenntnis nehmen müssen, oder sie zu bearbeiten haben, erhalten Zugang zu diesen Verschlusssachen.

2.

Um Zugang zu den als „TRÈS SECRET UE/EU TOP SECRET“, „SECRET UE“ und „CONFIDENTIEL UE“ eingestuften Verschlusssachen zu erhalten, müssen die in Nummer 1 genannten Personen hierzu nach dem Verfahren der Nummern 4 und 5 ermächtigt worden sein.

3.

Die Ermächtigung wird nur den Personen erteilt, die durch die zuständigen nationalen Behörden der Mitgliedstaaten (nationale Sicherheitsbehörden) einer Sicherheitsüberprüfung nach dem in den Nummern 6 bis 10 beschriebenen Verfahren unterzogen worden sind.

4.

Die Erteilung der Ermächtigungen gemäß den Nummern 1, 2 und 3 obliegt der Anstellungsbehörde im Sinne von Artikel 2 Absatz 1 des Personalstatuts.

Die Anstellungsbehörde erteilt die Ermächtigung nach Einholung der Stellungnahme der zuständigen nationalen Sicherheitsbehörden der Mitgliedstaaten auf der Grundlage der gemäß den Nummern 6 bis 12 durchgeführten Sicherheitsüberprüfung.

5.

Die Ermächtigung, die eine Geltungsdauer von fünf Jahren hat, erlischt, wenn die betreffende Person die Aufgaben, die die Erteilung der Ermächtigung gerechtfertigt haben, nicht mehr wahrnimmt. Sie kann von der Anstellungsbehörde nach dem Verfahren der Nummer 4 erneuert werden.

Die Ermächtigung wird dem Betreffenden von der Anstellungsbehörde entzogen, wenn ihrer Ansicht nach hierzu Grund besteht. Die Entzugsverfügung wird der betreffenden Person, die beantragen kann, von der Anstellungsbehörde gehört zu werden, sowie der zuständigen nationalen Behörde mitgeteilt.

6.

Durch die Sicherheitsüberprüfung soll gewährleistet werden, dass es keine Einwände dagegen gibt, dass die betreffende Person Zugang zu den vom Rat verwahrten Verschlusssachen erhalten kann.

7.

Die Sicherheitsüberprüfung wird unter Mitwirkung der betreffenden Person auf Ersuchen der Anstellungsbehörde von den zuständigen nationalen Behörden desjenigen Mitgliedstaats vorgenommen, dessen Staatsangehörigkeit die zu ermächtigende Person besitzt. Hat die betreffende Person ihren Wohnsitz in einem anderen Mitgliedstaat, so können die betreffenden nationalen Behörden sich die Mitwirkung der Behörden des Wohnsitzstaats sichern.

8.

Die betreffende Person hat im Hinblick auf die Sicherheitsüberprüfung eine Sicherheitserklärung auszufüllen.

9.

Die Anstellungsbehörde benennt in ihrem Ersuchen die Art und den Geheimhaltungsgrad der Informationen, zu denen die betreffende Person Zugang erhalten soll, damit die zuständigen nationalen Behörden das Sicherheitsüberprüfungsverfahren durchführen und zu der der betreffenden Person zu erteilenden Ermächtigungsstufe Stellung nehmen können.

10.

Für den gesamten Ablauf und die Ergebnisse des Sicherheitsüberprüfungsverfahrens gelten die einschlägigen Vorschriften und Regelungen des betreffenden Mitgliedstaats, einschließlich der Vorschriften und Regelungen für etwaige Rechtsbehelfe.

11.

Bei befürwortender Stellungnahme der zuständigen nationalen Behörden der Mitgliedstaaten kann die Anstellungsbehörde der betreffenden Person die Ermächtigung erteilen.

12.

Bei ablehnender Stellungnahme der zuständigen nationalen Behörden wird diese Ablehnung der betreffenden Person mitgeteilt, die beantragen kann, von der Anstellungsbehörde gehört zu werden. Die Anstellungsbehörde kann, wenn sie dies für erforderlich hält, bei den zuständigen nationalen Behörden um weitere Auskünfte, die diese zu geben vermögen, nachsuchen. Bei Bestätigung der ablehnenden Stellungnahme kann die Ermächtigung nicht erteilt werden.

13.

Jede ermächtigte Person im Sinne der Nummern 4 und 5 erhält zum Zeitpunkt der Ermächtigung und danach in regelmäßigen Abständen die gebotenen Anweisungen zum Schutz der Verschlusssachen und zu den Verfahren zur Sicherstellung dieses Schutzes. Sie unterzeichnet eine Erklärung, mit der sie den Erhalt dieser Anweisungen bestätigt und sich zu ihrer Einhaltung verpflichtet.

14.

Die Anstellungsbehörde ergreift alle erforderlichen Maßnahmen für die Durchführung dieses Abschnitts, insbesondere hinsichtlich der Regelung für den Zugang zum Verzeichnis der ermächtigten Personen.

15.

Ausnahmsweise kann die Anstellungsbehörde aufgrund dienstlicher Erfordernisse, nachdem sie die zuständigen nationalen Behörden hiervon im Voraus unterrichtet hat und diese binnen einem Monat nicht dazu Stellung genommen haben, auch eine einstweilige Ermächtigung für höchstens sechs Monate erteilen, bis ihr die Ergebnisse der Sicherheitsüberprüfung nach Nummer 7 vorliegen.

16.

Die so erteilten vorläufigen und befristeten Ermächtigungen berechtigen nicht zum Zugang zu als „TRÈS SECRET UE/EU TOP SECRET“ eingestuften Verschlusssachen; der Zugang wird auf die Beamten beschränkt, bei denen tatsächlich eine Sicherheitsüberprüfung gemäß Nummer 7 mit befürwortender Stellungnahme abgeschlossen worden ist. Bis die Ergebnisse der Sicherheitsüberprüfung vorliegen, können die Beamten, die die Ermächtigungsstufe „TRÈS SECRET UE/EU TOP SECRET“ erhalten sollen, vorläufig und befristet zum Zugang zu als „SECRET UE“ oder niedriger eingestuften Verschlusssachen ermächtigt werden.

1.

Die EU-Geheimhaltungsgrade und sonstigen Kennzeichnungen sind in der in Abschnitt II angegebenen Weise oben und unten in der Mitte auf jeder Seite anzubringen, wobei jede Seite zu nummerieren ist. Auf jeder EU-Verschlusssache sind ein Aktenzeichen und ein Datum anzugeben. Im Falle von Dokumenten der Geheimhaltungsgrade „TRÈS SECRET UE/EU TOP SECRET“ und „SECRET UE“ muss das Aktenzeichen auf jeder Seite erscheinen. Werden sie in mehreren Ausfertigungen verteilt, so erhält jede Ausfertigung eine eigene Nummer, die auf der ersten Seite zusammen mit der Gesamtzahl der Seiten anzugeben ist. Alle Anhänge und Anlagen sind auf der ersten Seite von Dokumenten aufzulisten, die als „CONFIDENTIEL UE“ oder höher eingestuft werden.

2.

Dokumente, die als „CONFIDENTIEL UE “ oder höher eingestuft werden, dürfen — außer in dem in Nummer 27 beschriebenen Sonderfall — nur von Personen maschinegeschrieben, übersetzt, archiviert, fotokopiert und auf Magnetband oder Mikrofiche gespeichert werden, die eine zumindest dem Geheimhaltungsgrad des betreffenden Dokuments entsprechende Zugangsermächtigung zu EU-Verschlusssachen haben.

Abschnitt XI enthält die Vorschriften für die Erstellung von Verschlusssachen mit Hilfe eines Computers.

3.

EU-Verschlusssachen dürfen nur an Personen verteilt werden, für die deren Kenntnis nötig ist und die in entsprechender Weise sicherheitsüberprüft worden sind. Der Urheber bestimmt die Empfänger der erstmaligen Verteilung.

4.

Dokumente des Geheimhaltungsgrades „TRÈS SECRET UE/EU TOP SECRET“ werden über „TRÈS SECRET UE/EU TOP SECRET“-Registraturen verteilt (siehe Abschnitt VIII). Im Falle als „TRÈS SECRET UE/EU TOP SECRET“ eingestufter Mitteilungen kann die zuständige Registratur dem Leiter des Kommunikationszentrums gestatten, die in der Liste der Empfänger angegebene Anzahl von Ausfertigungen zu erstellen.

5.

Als „SECRET UE“ oder niedriger eingestufte Dokumente können vom Erstempfänger an weitere Empfänger, für die deren Kenntnis nötig ist, weiter gegeben werden. Die Stellen, von denen die Verschlusssachen stammen, können allerdings von ihnen gewünschte Einschränkungen bei der Verteilung mitteilen. In diesem Fall dürfen die Empfänger die Dokumente nur mit der Genehmigung der Stellen, von denen sie stammen, weiter geben.

6.

Ein- und Ausgang jedes als „CONFIDENTIEL UE“ oder höher eingestuften Dokuments sind von der Registratur jeder Einrichtung, die dieses Dokument empfängt, zu verzeichnen. Die Angaben, die hierbei zu erfassen sind (Aktenzeichen, Datum und gegebenenfalls Nummer der Ausfertigung) müssen eine Identifizierung des Dokuments ermöglichen und sind in einem Dienstbuch oder in einem besonders geschützten Computermedium festzuhalten.

7.

Als „CONFIDENTIEL UE“ oder höher eingestufte Dokumente sind in einem doppelten, widerstandsfähigen und undurchsichtigen Umschlag zu übermitteln. Auf dem inneren Umschlag sind der entsprechende EU-Geheimhaltungsgrad sowie möglichst die vollständige Amtsbezeichnung und Anschrift des Empfängers anzugeben.

8.

Nur der Registraturkontrollbeamte oder sein Stellvertreter darf den inneren Umschlag öffnen und den Empfang der übermittelten Verschlusssachen bestätigen, es sei denn, der Umschlag ist ausdrücklich an einen bestimmten Empfänger gerichtet. In diesem Fall vermerkt die zuständige Registratur den Eingang des Umschlags und nur der genannte Empfänger darf den inneren Umschlag öffnen und den Empfang der darin enthaltenen Verschlusssachen bestätigen.

9.

In dem inneren Umschlag ist eine Empfangsbestätigung beizulegen. In dieser Bestätigung, die nicht als Verschlusssache eingestuft wird, sind Aktenzeichen, Datum und die Nummer der Ausfertigung der Verschlusssache, niemals jedoch deren Betreff, anzugeben.

10.

Der innere Umschlag wird in einen Außenumschlag gelegt, der für Empfangszwecke eine Versandnummer erhält. Der Geheimhaltungsgrad darf unter keinen Umständen auf dem Außenumschlag erscheinen.

11.

Bei als „CONFIDENTIEL UE“ oder höher eingestuften Dokumenten ist Kurieren und Boten eine Empfangsbestätigung auszustellen, auf der die Versandnummern der übermittelten Versandstücke angegeben sind.

12.

Innerhalb eines bestimmten Gebäudes oder Gebäudekomplexes dürfen als Verschlusssachen eingestufte Dokumente in einem versiegelten Umschlag, der nur den Namen des Empfängers trägt, befördert werden, sofern die Beförderung durch eine für den betreffenden Geheimhaltungsgrad ermächtigte Person erfolgt.

13.

Innerhalb ein- und desselben Landes sollten „TRÈS SECRET UE/EU TOP SECRET“-Dokumente nur unter Zuhilfenahme offizieller Kurierdienste oder durch Personen übermittelt werden, die eine Zugangsermächtigung zu als „TRÈS SECRET UE/EU TOP SECRET“ eingestuften Verschlusssachen haben.

14.

Wird zur Übermittlung eines als „TRÈS SECRET UE/EU TOP SECRET“ eingestuften Dokuments an einen Empfänger außerhalb desselben Gebäudes oder Gebäudekomplexes ein Kurierdienst verwendet, so sind die Bestimmungen über den Versand und die Empfangsbestätigung in diesem Kapitel einzuhalten. Die Zustelldienste sind personell so auszustatten, dass gewährleistet ist, dass sich Versandstücke mit als „TRÈS SECRET UE/EU TOP SECRET“ eingestuften Dokumenten jederzeit unter der direkten Aufsicht eines verantwortlichen Beamten befinden.

15.

In Ausnahmefällen können Beamte, die nicht Boten sind, als „TRÈS SECRET UE/EU TOP SECRET“ eingestufte Dokumente außerhalb des Gebäudes oder Gebäudekomplexes zur Benutzung vor Ort anlässlich von Sitzungen oder Erörterungen mitnehmen, vorausgesetzt, dass

16.

Innerhalb ein und desselben Landes dürfen als „SECRET UE“ oder „CONFIDENTIEL UE“ eingestufte Dokumente entweder mit der Post, wenn eine derartige Übermittlung nach den einzelstaatlichen Regelungen gestattet ist und mit den hier vorliegenden Vorschriften in Einklang steht, oder über einen Kurierdienst oder durch Personen übermittelt werden, die zum Zugang zu EU-Verschlusssachen ermächtigt sind.

17.

Jeder Mitgliedstaat und jede dezentrale EU-Einrichtung sollte auf diesen Vorschriften beruhende Weisungen für das Personal ausarbeiten, das EU-Verschlusssachen befördert. Es sollte vorgeschrieben werden, dass Personen, die Verschlusssachen befördern, diese Weisungen lesen und unterzeichnen. In den Weisungen sollte insbesondere deutlich gemacht werden, dass Dokumente unter keinen Umständen

18.

Als „CONFIDENTIEL UE“ oder höher eingestuftes Material sollte durch diplomatische oder militärische Kurierdienste von einem Mitgliedstaat in einen anderen befördert werden.

19.

Eine persönliche Beförderung von als „SECRET UE“ oder „CONFIDENTIEL UE“ eingestuftem Material kann jedoch gestattet werden, wenn durch die für die Beförderung geltenden Vorschriften gewährleistet wird, dass das Material nicht in die Hände Unbefugter fallen kann.

20.

Die nationalen Sicherheitsbehörden können eine persönliche Beförderung gestatten, wenn keine diplomatischen oder militärischen Kuriere zur Verfügung stehen oder der Rückgriff auf derartige Kuriere zu einer Verzögerung führen würde, die sich nachteilig auf Maßnahmen der EU auswirken könnte, und wenn das Material vom Empfänger dringend benötigt wird. Jeder Mitgliedstaat sollte Anweisungen über die zwischenstaatliche persönliche Beförderung von Material des Geheimhaltungsgrades „SECRET UE“ oder geringer durch Personen, die keine diplomatischen oder militärischen Kuriere sind, ausarbeiten. In diesen Anweisungen sollte vorgesehen werden, dass

Die mit der Beförderung der Verschlusssachen beauftragte Person muss Geheimschutzvorschriften lesen und unterzeichnen, die mindestens die vorstehenden Weisungen sowie Verfahren enthalten, die im Notfall oder für den Fall zu beachten sind, dass das Versandstück mit den Verschlusssachen von Zollbeamten oder Sicherheitsbeamten auf einem Flughafen kontrolliert werden soll.

21.

Für die Beförderung von als „RESTREINT UE“ eingestuften Dokumenten werden keine besonderen Vorschriften eingeführt; bei ihrer Beförderung ist allerdings sicherzustellen, dass sie nicht in die Hände Unbefugter geraten können.

22.

Alle Kuriere und Boten, die mit der Beförderung von „SECRET UE“- und „CONFIDENTIEL UE“-Dokumenten beauftragt werden, müssen entsprechend sicherheitsermächtigt sein.

23.

Mit den Maßnahmen für die Kommunikationssicherheit soll die sichere Übermittlung von EU-Verschlusssachen gewährleistet werden. Die für die Übermittlung dieser EU-Verschlusssachen geltenden Vorschriften sind in Abschnitt XI dargelegt.

24.

Als „CONFIDENTIEL UE“ oder „SECRET UE“ eingestufte Informationen dürfen nur von zugelassenen Kommunikationszentren und -netzen und/oder Terminals bzw. über entsprechende Systeme übermittelt werden.

25.

Das Kopieren oder die Übersetzung von „TRÈS SECRET UE/EU TOP SECRET“-Dokumenten kann ausschließlich der Urheber gestatten.

26.

Fordern Personen, die nicht über eine „TRÈS SECRET UE/EU TOP SECRET“-Sicherheitsermächtigung verfügen, Informationen an, die zwar in einem „TRÈS SECRET UE/EU TOP SECRET“-Dokument enthalten, aber nicht als solche eingestuft sind, so kann der Leiter der „TRÈS SECRET UE/EU TOP SECRET“-Registratur ermächtigt werden, die notwendige Anzahl von Auszügen aus diesem Dokument auszuhändigen. Gleichzeitig ergreift er die erforderlichen Maßnahmen, um sicherzustellen, dass diese Auszüge einen angemessenen Geheimhaltungsgrad erhalten.

27.

Als „SECRET UE“ und niedriger eingestufte Dokumente können vom Empfänger unter Einhaltung der einzelstaatlichen Sicherheitsvorschriften und unter strikter Befolgung des Grundsatzes „Kenntnis nur wenn nötig“ vervielfältigt und übersetzt werden. Die für das Originaldokument geltenden Sicherheitsvorschriften finden auch auf Vervielfältigungen und/oder Übersetzungen dieses Dokuments Anwendung. Dezentrale EU-Einrichtungen halten sich an diese Sicherheitsvorschriften.

28.

Alljährlich führt jede „TRÈS SECRET UE/EU TOP SECRET“-Registratur im Sinne des Abschnitts VIII gemäß den Vorschriften des Abschnitts VIII Nummern 9 bis 11 eine detaillierte Bestandsaufnahme der „TRÈS SECRET UE/EU TOP SECRET“-Dokumente durch. EU-Verschlusssachen unterhalb des Geheimhaltungsgrades „TRÈS SECRET UE/EU TOP SECRET“ werden gemäß den einzelstaatlichen Leitlinien oder im Falle des Generalsekretariats des Rates oder dezentraler EU-Einrichtungen gemäß den Anweisungen des Generalsekretärs/Hohen Vertreters einer internen Prüfung unterzogen.

Hierbei soll ermittelt werden, ob nach Auffassung der Verwahrer

29.

Um Archivierungsprobleme möglichst gering zu halten, ist es den Kontrollbeamten aller Registraturen gestattet, „TRÈS SECRET UE/EU TOP SECRET“-, „SECRET UE“- und „CONFIDENTIEL UE“-Dokumente auf Mikrofilm aufzunehmen oder auf andere Weise auf magnetischen oder optischen Datenträgern zu Archivzwecken zu speichern, vorausgesetzt

30.

Diese Vorschriften gelten auch für alle anderen, von der Nationalen Sicherheitsbehörde zugelassenen Speichermedien wie elektromagnetische Träger und optische Speicherplatten.

31.

Um eine unnötige Anhäufung von EU-Verschlusssachen zu vermeiden, werden die nach Auffassung des Leiters der aufbewahrenden Stelle inhaltlich überholten oder überzähligen Dokumente so bald wie praktisch möglich auf folgende Weise vernichtet:

32.

„SECRET UE“-Dokumente werden mittels eines der in Nummer 31 Buchstabe c) genannten Verfahren unter der Aufsicht einer Person, die über die betreffende Sicherheitsermächtigung verfügt, von der für diese Dokumente zuständigen Registratur vernichtet. Vernichtete „SECRET UE“-Dokumente werden auf einer unterzeichneten Vernichtungsbescheinigung eingetragen, die von der Registratur zusammen mit den Verteilungsunterlagen mindestens drei Jahre lang aufbewahrt wird.

33.

„CONFIDENTIEL UE“-Dokumente werden mittels eines der in Nummer 31 Buchstabe c) genannten Verfahren unter der Aufsicht einer Person, die über die betreffende Sicherheitsermächtigung verfügt, von der für diese Dokumente zuständigen Registratur vernichtet. Ihre Vernichtung wird gemäß den einzelstaatlichen Vorschriften oder, im Falle des Generalsekretariats des Rates oder dezentraler EU-Einrichtungen, gemäß den Anweisungen des Generalsekretärs/Hohen Vertreters registriert.

34.

„RESTREINT UE“-Dokumente werden von der für diese Dokumente zuständigen Registratur gemäß den einzelstaatlichen Vorschriften oder, im Falle des Generalsekretariats des Rates oder dezentraler EU-Einrichtungen, gemäß den Anweisungen des Generalsekretärs/Hohen Vertreters vernichtet.

35.

Das Generalsekretariat des Rates, die Mitgliedstaaten und die dezentralen EU-Einrichtungen arbeiten unter Berücksichtigung der örtlichen Gegebenheiten Pläne zum Schutz von EU-Verschlusssachen im Krisenfall aus, die, falls erforderlich, auch Pläne für eine Vernichtung oder Auslagerung der EU-Verschlusssachen im Notfall umfassen; sie erteilen innerhalb ihrer Organisation die Anweisungen, die sie für notwendig erachten, damit EU-Verschlusssachen nicht in unbefugte Hände gelangen.

36.

Regelungen zum Schutz und/oder zur Vernichtung von „SECRET UE“- und „CONFIDENTIEL UE“-Unterlagen im Krisenfall dürfen auf keinen Fall den Schutz oder die Vernichtung von „TRÈS SECRET UE/EU TOP SECRET“-Materialien, einschließlich der Verschlüsselungseinrichtungen, beeinträchtigen, die Vorrang vor allen anderen Aufgaben haben. Die für den Schutz und die Vernichtung der Verschlüsselungseinrichtungen vorzusehenden Maßnahmen sind durch Ad-hoc-Anweisungen zu regeln.

37.

Innerhalb des Generalsekretariats des Rates verfolgt ein „Verschlusssachenbüro“ die Behandlung der als „SECRET UE“ und „CONFIDENTIEL UE“ eingestuften Informationen, wenn sie Gegenstand von Ratsdokumenten sind.

Unter der Verantwortung des Generaldirektors für Personal und Verwaltung nimmt es folgende Aufgaben wahr:

38.

Das Verschlusssachenbüro führt ein Register mit folgenden Angaben:

39.

Für das Verschlusssachenbüro des Generalsekretariats des Rates gelten die allgemeinen Vorschriften der Kapitel I bis V dieses Abschnitts, soweit sie nicht durch die spezifischen Vorschriften dieses Kapitels geändert werden.

1.

Durch „TRÈS SECRET UE/EU TOP SECRET“-Registraturen ist zu gewährleisten, dass die Registrierung, Handhabung und Verteilung von „TRÈS SECRET UE/EU TOP SECRET“-Dokumenten gemäß den Sicherheitsvorschriften erfolgt. Die Leiter der „TRÈS SECRET UE/EU TOP SECRET“-Registraturen in den einzelnen Mitgliedstaaten, beim Generalsekretariat des Rates und gegebenenfalls in dezentralen EU-Einrichtungen sind „TRÈS SECRET UE/EU TOP SECRET“-Kontrollbeamte.

2.

Die Zentralregistraturen sind die hauptsächliche Empfangs- und Versandbehörde in den Mitgliedstaaten, beim Generalsekretariat des Rates und in dezentralen EU-Einrichtungen, in denen solche Registraturen eingerichtet wurden, sowie gegebenenfalls in anderen EU-Einrichtungen, internationalen Organisationen und Drittstaaten, mit denen der Rat Abkommen über die Sicherheitsverfahren für den Austausch von Verschlusssachen geschlossen hat.

3.

Nötigenfalls werden Unterregistraturen eingerichtet, die für die interne Verwaltung von „TRÈS SECRET UE/EU TOP SECRET“-Dokumenten zuständig sind; sie führen ein Register der von ihnen aufbewahrten Dokumente, das stets auf dem neuesten Stand gehalten wird.

4.

„TRÈS SECRET UE/EU TOP SECRET“-Unterregistraturen werden nach Maßgabe des Abschnitts I eingerichtet, damit längerfristigen Notwendigkeiten entsprochen werden kann; sie werden einer zentralen „TRÈS SECRET UE/EU TOP SECRET“-Registratur zugeordnet. Müssen „TRÈS SECRET UE/EU TOP SECRET“-Dokumente nur zeitweilig und gelegentlich konsultiert werden, so können sie ohne Einrichtung einer „TRÈS SECRET UE/EU TOP SECRET“-Unterregistratur weitergeleitet werden, sofern Vorschriften festgelegt wurden, die gewährleisten, dass diese Dokumente unter der Kontrolle der entsprechenden „TRÈS SECRET UE/EU TOP SECRET“-Registratur verbleiben und alle materiellen und personenbezogenen Sicherheitsmaßnahmen eingehalten werden.

5.

Unterregistraturen ist es nicht gestattet, ohne ausdrückliche Zustimmung ihrer „TRÈS SECRET UE/EU TOP SECRET“-Zentralregistratur „TRÈS SECRET UE/EU TOP SECRET“-Dokumente unmittelbar an andere Unterregistraturen derselben Zentralregistratur zu übermitteln.

6.

Der Austausch von „TRÈS SECRET UE/EU TOP SECRET“-Dokumenten zwischen Unterregistraturen, die nicht derselben Zentralregistratur zugeordnet sind, muss über die „TRÈS SECRET UE/EU TOP SECRET“-Zentralregistraturen abgewickelt werden.

1.

Finden Tagungen des Europäischen Rates, Rats- und Ministertagungen oder andere wichtige Tagungen außerhalb der in Brüssel und Luxemburg befindlichen Gebäude des Rates statt und ist es durch die besonderen Sicherheitsanforderungen aufgrund der hohen Empfindlichkeit der behandelten Fragen oder Informationen gerechtfertigt, so werden die nachstehend beschriebenen Sicherheitsmaßnahmen ergriffen. Diese Maßnahmen betreffen lediglich den Schutz von EU-Verschlusssachen; möglicherweise sind weitere Sicherheitsmaßnahmen vorzusehen.

2.

Der Mitgliedstaat, in dessen Gebiet eine Tagung des Europäischen Rates, eine Rats- oder Ministertagung oder eine andere wichtige Tagung stattfindet (gastgebender Mitgliedstaat), sollte in Zusammenarbeit mit dem Sicherheitsbüro des Generalsekretariats des Rates für die Sicherheit dieser Tagung und die materielle Sicherheit der Hauptdelegierten und ihres Personals verantwortlich sein.

In Bezug auf den Sicherheitsschutz sollte der Mitgliedstaat insbesondere gewährleisten, dass

3.

Die Behörden der Mitgliedstaaten sollten die erforderlichen Maßnahmen treffen, um dafür zu sorgen, dass

4.

Es sollte ein Sicherheitsbeauftragter ernannt werden, der für die allgemeine Vorbereitung und Überwachung der allgemeinen internen Sicherheitsmaßnahmen und für die Koordinierung mit den anderen betroffenen Sicherheitsbehörden verantwortlich ist. Die vom ihm getroffenen Maßnahmen sollten sich im Allgemeinen auf Folgendes erstrecken:

5.

Das Sicherheitsbüro des Generalsekretariats des Rates sollte als Sicherheitsberatungsstelle für die Vorbereitung der Tagung fungieren; es sollte auf der Tagung vertreten sein, um erforderlichenfalls den Sicherheitsbeauftragten für die Tagung und die Delegationen zu unterstützen und zu beraten.

6.

Jede an der Tagung teilnehmende Delegation sollte einen Sicherheitsbeauftragten benennen, der für die Behandlung von Sicherheitsfragen in seiner Delegation zuständig ist und die Verbindung zu dem Sicherheitsbeauftragten für die Tagung sowie mit dem Vertreter des Sicherheitsbüros des Generalsekretariats des Rates aufrecht erhält.

7.

Es werden folgende Sicherheitsbereiche angelegt:

8.

Der Sicherheitsbeauftragte für die Tagung sollte entsprechend den von den Delegationen gemeldeten Bedarf geeignete Berechtigungsausweise ausgeben. Erforderlichenfalls kann eine Abstufung der Zugangsberechtigung für die verschiedenen Sicherheitsbereiche vorgesehen werden.

9.

Mit den Sicherheitsanweisungen für die Tagung sollten alle Betroffenen verpflichtet werden, am Tagungsort ihre Berechtigungsausweise stets gut sichtbar mit sich zu führen, so dass sie erforderlichenfalls vom Sicherheitspersonal überprüft werden können.

10.

Abgesehen von den mit einem Berechtigungsausweis versehenen Tagungsteilnehmern sollten so wenige Personen wie möglich Zugang zum Tagungsort erhalten. Die einzelstaatlichen Delegationen, die während der Tagung Besucher empfangen möchten, sollten dies dem Sicherheitsbeauftragten für die Tagung mitteilen. Die Besucher sollten einen Besucherausweis erhalten. Es sollte ein Besuchsnachweisformblatt ausgefüllt werden, in das der Name des Besuchers und der Name der besuchten Person eingetragen werden. Besucher sollten stets von einem Angehörigen des Sicherheitspersonals oder von der besuchten Person begleitet werden. Das Besuchsnachweisformblatt sollte von der begleitenden Person mitgeführt und von dieser zusammen mit dem Besucherausweis dem Sicherheitspersonal zurückgegeben werden, sobald der Besucher den Tagungsort verlässt.

11.

Bild- oder Tonaufzeichnungsgeräte dürfen nicht in einen Sicherheitsbereich der Kategorie I gebracht werden, sofern es sich nicht um die Ausrüstung von Fotografen und Tontechnikern handelt, die vom Sicherheitsbeauftragten der Tagung vorschriftsgemäß zugelassen worden sind.

12.

Inhaber von Berechtigungsausweisen, denen der Zugang zu einem Sicherheitsbereich gestattet ist, dürfen für gewöhnlich ihre Aktentaschen und tragbaren Computer (nur mit eigener Stromversorgung) mitbringen, ohne dass diese überprüft werden. Bei für die Delegationen bestimmten Paketen dürfen die Delegationen die Lieferung in Empfang nehmen; diese wird entweder vom Sicherheitsbeauftragten der Delegation überprüft und mit Spezialgeräten kontrolliert oder aber vom Sicherheitspersonal zur Überprüfung geöffnet. Wenn der Sicherheitsbeauftragte für die Tagung es für erforderlich hält, können strengere Maßnahmen für die Überprüfung von Aktentaschen und Paketen festgelegt werden.

13.

Der Tagungsraum kann von einem für die technische Sicherheit zuständigen Team technisch gesichert werden; dieses Team kann ferner während der Tagung eine elektronische Überwachung vornehmen.

14.

Die Delegationen sollten für die Beförderung von EU-Verschlusssachen zu und von Tagungen verantwortlich sein. Sie sollten auch für die Überprüfung und Sicherheit der betreffenden Unterlagen bei der Verwendung in den ihnen zugewiesenen Räumlichkeiten verantwortlich sein. Der gastgebende Mitgliedstaat kann für die Beförderung der Verschlusssachen zum und vom Tagungsort um Hilfe ersucht werden.

15.

Sind das Generalsekretariat des Rates, die Kommission oder die Delegationen nicht in der Lage, ihre Verschlusssachen gemäß den anerkannten Standards aufzubewahren, so können sie diese Unterlagen in einem versiegelten Umschlag beim Sicherheitsbeauftragten für die Tagung gegen Empfangsbescheinigung hinterlegen, so dass dieser für eine den genannten Standards entsprechenden Aufbewahrung Sorge tragen kann.

16.

Der Sicherheitsbeauftragte der Tagung sollte dafür sorgen, dass die Büroräume des Generalsekretariats des Rates und der Delegationen am Ende jedes Arbeitstages überprüft werden, damit sichergestellt ist, dass alle EU-Verschlusssachen an einem sicheren Ort aufbewahrt werden; andernfalls sollte er die erforderlichen Abhilfemaßnahmen treffen.

17.

Sämtliche Abfälle sind als EU-Verschlusssachen zu behandeln und das Generalsekretariat des Rates und die Delegationen sollten zur Entsorgung Papierkörbe oder Abfallsäcke erhalten. Das Generalsekretariat des Rates und die Delegationen sollten vor Verlassen der ihnen zugewiesenen Räumlichkeiten die Abfälle zum Sicherheitsbeauftragten für die Tagung bringen, der ihre vorschriftsmäßige Vernichtung veranlasst.

18.

Am Ende der Tagung sollten alle Dokumente, die das Generalsekretariat des Rates oder die Delegationen in ihrem Besitz hatten, aber nicht behalten wollen, als Abfall behandelt werden. Es sollte eine umfassende Inspektion der Räumlichkeiten des Generalsekretariats des Rates und der Delegationen durchgeführt werden, bevor die für die Tagung getroffenen Sicherheitsmaßnahmen aufgehoben werden. Dokumente, für die eine Empfangsbescheinigung unterzeichnet wurde, sollten soweit möglich gemäß den Vorschriften des Abschnitts VII vernichtet werden.

1.

Zu einer Verletzung der Sicherheit kommt es, wenn durch eine Handlung oder durch eine Unterlassung, die den Sicherheitsvorschriften des Rates oder eines der Mitgliedstaaten zuwiderläuft, EU-Verschlusssachen in Gefahr geraten oder Unbefugten zur Kenntnis gelangen.

2.

Eine Kenntnisnahme von EU-Verschlusssachen durch Unbefugte liegt vor, wenn die Verschlusssachen ganz oder teilweise in die Hände unbefugter Personen (d. h. von Personen, die nicht die erforderliche Zugangsermächtigung haben oder deren Kenntnis der Verschlusssachen nicht nötig ist) gelangt sind oder es wahrscheinlich ist, dass eine derartige Kenntnisnahme stattgefunden hat.

3.

Die Kenntnisnahme von EU-Verschlusssachen durch Unbefugte kann die Folge von Nachlässigkeit, Fahrlässigkeit oder Indiskretion, aber auch der Tätigkeit von Diensten, die in der EU oder ihren Mitgliedstaaten Kenntnis von EU-Verschlusssachen und geheimen Tätigkeiten erlangen wollen, oder von subversiven Organisationen sein.

4.

Es ist wichtig, dass alle Personen, die mit EU-Verschlusssachen umgehen müssen, eingehend über die Sicherheitsverfahren, die Gefahren von indiskreten Gesprächen und über ihre Beziehungen zur Presse unterrichtet werden. Sie sollten sich darüber im Klaren sein, wie wichtig es ist, jede ihnen bekannt werdende Verletzung der Sicherheit sofort der Sicherheitsbehörde des Mitgliedstaats, des Organs oder der Einrichtung, in dem bzw. der sie beschäftigt sind, mitzuteilen.

5.

Wenn eine Sicherheitsbehörde eine Verletzung der Sicherheit betreffend EU-Verschlusssachen oder den Verlust bzw. das Verschwinden von als EU-Verschlusssache eingestuftem Material entdeckt oder hiervon unterrichtet wird, trifft sie rasch Maßnahmen, um

In diesem Zusammenhang sind folgende Angaben zu machen:

6.

Jede Sicherheitsbehörde hat die Pflicht, unmittelbar nach ihrer Unterrichtung von einer möglichen Verletzung der Sicherheit hierüber nach dem folgenden Verfahren Bericht zu erstatten: Die Unterregistratur für als „TRÈS SECRET UE/EU TOP SECRET“ eingestufte Verschlusssachen meldet den Vorfall über ihre „TRÈS SECRET UE/EU TOP SECRET“-Zentralregistratur dem Sicherheitsbüro des Generalsekretariats des Rates; ist die Kenntnisnahme von EU-Verschlusssachen durch Unbefugte im Zuständigkeitsbereich eines Mitgliedstaates erfolgt, so wird sie über die zuständige nationale Sicherheitsbehörde auf die in Nummer 5 angegebene Weise dem Sicherheitsbüro des Generalsekretariats des Rates gemeldet.

7.

Fälle, in denen es um als „RESTREINT UE“ eingestufte Verschlusssachen geht, müssen nur dann gemeldet werden, wenn sie ungewöhnlicher Art sind.

8.

Wird der Generalsekretär/Hohe Vertreter von einer Verletzung der Sicherheit unterrichtet, so

9.

Die Stelle, von der die Verschlusssache stammt, unterrichtet die Empfänger des Dokuments und gibt ihnen entsprechende Anweisungen.

10.

Gegen jede für die Kenntnisnahme von EU-Verschlusssachen durch Unbefugte verantwortliche Person können disziplinarische Maßnahmen aufgrund der geltenden Vorschriften und Regelungen ergriffen werden. Diese Maßnahmen lassen ein etwaiges gerichtliches Vorgehen unberührt.

1.

Das Sicherheitskonzept und die Sicherheitsanforderungen, die in diesem Abschnitt beschrieben werden, gelten für alle Kommunikations- und Informationssysteme und -netze (nachstehend als „SYSTEME“ bezeichnet), in denen Informationen des Geheimhaltungsgrades „CONFIDENTIEL UE“ oder höher verarbeitet werden.

2.

Auch bei SYSTEMEN, in denen als „RESTREINT UE“ eingestufte Informationen verarbeitet werden, sind Sicherheitsmaßnahmen zum Schutz der Vertraulichkeit dieser Informationen erforderlich. Bei allen SYSTEMEN sind Sicherheitsmaßnahmen zum Schutz der Integrität und der Verfügbarkeit dieser Systeme und der darin enthaltenen Informationen erforderlich. Die auf diese Systeme anzuwendenden Sicherheitsmaßnahmen werden von der dazu vorgesehenen Akkreditierungsstelle für IT-Sicherheit (Security Accreditation Authority, SAA) festgelegt, sie entsprechen dem festgestellten Risiko und stehen mit dem in diesen Sicherheitsbestimmungen dargelegten Konzept im Einklang.

3.

Der Schutz von Sensorsystemen, die eingebettete IT-SYSTEME enthalten, wird im allgemeinen Kontext derjenigen Systeme, deren Bestandteil sie sind, unter weitestgehender Anwendung der jeweiligen Bestimmungen dieses Abschnitts festgelegt und spezifiziert.

4.

Eine Bedrohung kann allgemein als Möglichkeit einer unabsichtlichen oder absichtlichen Beeinträchtigung der Sicherheit definiert werden. Bei SYSTEMEN ist dies mit dem Verlust einer oder mehrerer der Eigenschaften Vertraulichkeit, Integrität und Verfügbarkeit verbunden. Eine Schwachstelle kann als unzureichende oder fehlende Kontrolle definiert werden, die die Bedrohung eines bestimmten Objekts oder Ziels erleichtern oder ermöglichen könnte. Eine Schwachstelle kann durch ein Versäumnis entstehen oder sie kann mit nachlässigen, unvollständigen oder inkonsistenten Kontrollen zusammenhängen; sie kann die Technik, die Verfahrens- oder die Betriebsebene betreffen.

5.

EU-Verschlusssachen und sonstige Informationen, die in SYSTEMEN in einer zur raschen Abfrage, Übermittlung und Nutzung konzipierten konzentrierten Form vorliegen, sind in vielerlei Hinsicht gefährdet. So könnten z. B. Unbefugte auf die Informationen zugreifen oder Befugten könnte der Zugriff verweigert werden. Ferner besteht das Risiko einer unerlaubten Verbreitung, einer Verfälschung, Änderung oder Löschung der Informationen. Außerdem sind die komplexen und manchmal empfindlichen Geräte teuer in der Anschaffung, und es ist häufig schwierig, sie rasch zu reparieren oder zu ersetzen. Deshalb stellen diese SYSTEME attraktive Ziele für geheimdienstliche Tätigkeit oder Sabotage dar, insbesondere wenn die Sicherheitsmaßnahmen für unzureichend gehalten werden.

6.

Die in diesem Abschnitt festgelegten Sicherheitsmaßnahmen dienen in erster Linie dem Schutz von Informationen vor unerlaubter Preisgabe (Verlust der Vertraulichkeit), sowie dem Schutz vor dem Verlust der Integrität und der Verfügbarkeit von Informationen. Um ein SYSTEM, in dem EU-Verschlusssachen verarbeitet werden, angemessen zu schützen, sind die einschlägigen konventionellen Sicherheitsstandards festzulegen, zu denen geeignete, auf das jeweilige SYSTEM zugeschnittene spezielle Sicherheitsverfahren und -techniken hinzukommen.

7.

Um ein sicheres Umfeld für den Betrieb eines SYSTEMS zu schaffen, muss eine ausgewogene Kombination von Sicherheitsmaßnahmen ausgewählt und umgesetzt werden. Diese Maßnahmen betreffen physische Objekte, das Personal, nichttechnische Verfahren sowie Betriebsverfahren für Computer und Kommunikationssysteme.

8.

Bei Maßnahmen im Bereich der Computersicherheit (Sicherheitseigenschaften der Hard- und Software) muss der Grundsatz des berechtigen Informationsbedarfs („Need-to-know-Prinzip“) eingehalten werden, und die unerlaubte Preisgabe von Informationen muss verhindert oder aufgedeckt werden. Wie zuverlässig Maßnahmen der Computersicherheit sein müssen, wird bei der Formulierung der Sicherheitsanforderungen festgelegt. Im Rahmen der Akkreditierung wird überprüft, dass eine angemessene Vertrauenswürdigkeit vorhanden ist, um sich auf Maßnahmen der Computersicherheit verlassen zu können.

9.

Für alle SYSTEME, in denen als „CONFIDENTIEL UE“ oder höher eingestufte Informationen verarbeitet werden, ist eine Aufstellung der systemspezifischen Sicherheitsanforderungen (SYSTEM-Specific Security Requirement Statement, SSRS) erforderlich, die von der für den Betrieb des IT-Systems zuständigen Stelle (IT System Operational Authority, ITSOA) gegebenenfalls mit Beiträgen und Unterstützung des Projektpersonals und der INFOSEC-Stelle erstellt und von der SAA genehmigt wird. Eine SSRS ist auch dann erforderlich, wenn die Verfügbarkeit und Integrität von als „RESTREINT UE“ eingestuften Informationen oder von Informationen ohne VS-Einstufung von der SAA als sicherheitskritisch angesehen wird.

10.

Die SSRS wird im frühesten Stadium der Konzeption eines Projekts formuliert und parallel zum Projektverlauf weiterentwickelt und verbessert; sie erfüllt unterschiedliche Aufgaben in verschiedenen Stadien des Projekts und des Lebenszyklus des SYSTEMS.

11.

Die SSRS wird zwischen der für den Betrieb des IT-Systems zuständigen Stelle und der SAA verbindlich vereinbart und bei der Akkreditierung des Systems zugrunde gelegt.

12.

Die SSRS ist eine vollständige und ausführliche Festlegung der einzuhaltenden Sicherheitsgrundsätze und der zu erfüllenden detaillierten Sicherheitsanforderungen. Sie beruht auf dem Sicherheitskonzept und der Risikobewertung des Rates bzw. wird von Faktoren des betrieblichen Umfelds bestimmt, vom niedrigsten Berechtigungsstatus des Personals, dem höchsten Geheimhaltungsgrad der verarbeiteten Informationen, vom jeweiligen Sicherheitsmodus oder den Benutzeranforderungen. Die SSRS ist Bestandteil der Projektdokumentation, die den zuständigen Stellen zur Billigung der technischen, haushaltsbezogenen und sicherheitsrelevanten Aspekte unterbreitet wird. In ihrer endgültigen Fassung ist die SSRS eine vollständige Beschreibung der Voraussetzungen, die gegeben sein müssen, damit ein bestimmtes SYSTEM sicher ist.

13.

Alle SYSTEME, in denen als „CONFIDENTIEL UE“ oder höher eingestufte Informationen verarbeitet werden, werden für den Betrieb in einem einzigen Sicherheitsmodus oder — aufgrund zeitlich unterschiedlicher Anforderungen — in mehreren der folgenden sicherheitsbezogenen Betriebsarten (oder deren einzelstaatlichen Entsprechungen) freigegeben:

14.

Zusätzliche Kennzeichnungen wie z. B. CRYPTO oder eine andere von der EU anerkannte Sonderkennung werden verwendet, wenn zusätzlich zu der Behandlung, die sich durch die VS-Einstufung ergibt, eine begrenzte Verteilung und eine besondere Abwicklung erforderlich sind.

15.

Der SICHERHEITSMODUS „DEDICATED“ bezeichnet eine Betriebsart, bei der ALLE Personen, die Zugang zum SYSTEM haben, zum Zugriff auf den höchsten im SYSTEM verarbeiteten Geheimhaltungsgrad berechtigt sind und generell einen berechtigten Informationsbedarf in Bezug auf ALLE im SYSTEM verarbeiteten Informationen haben.

16.

Der SICHERHEITSMODUS „SYSTEM-HIGH“ bezeichnet eine Betriebsart, bei der ALLE Personen, die Zugang zum SYSTEM haben, zum Zugriff auf den höchsten im SYSTEM verarbeiteten Geheimhaltungsgrad berechtigt sind, bei der aber NICHT ALLE Personen, die Zugang zum System haben, generell einen berechtigten Informationsbedarf in Bezug auf die im SYSTEM verarbeiteten Informationen haben.

17.

Der SICHERHEITSMODUS „MULTI-LEVEL“ bezeichnet eine Betriebsart, bei der NICHT ALLE Personen, die Zugang zum SYSTEM haben, zum Zugriff auf den höchsten Geheimhaltungsgrad im SYSTEM berechtigt sind und bei der NICHT ALLE Personen, die Zugang zum System haben, generell einen berechtigten Informationsbedarf in Bezug auf die im SYSTEM verarbeiteten Informationen haben.

18.

INFORMATIONSSICHERHEIT (INFOSEC) bezeichnet die Anwendung von Sicherheitsmaßnahmen zum Schutz von Informationen, die in Kommunikations- und Informationssystemen und anderen elektronischen Systemen verarbeitet, gespeichert oder übermittelt werden, vor dem unabsichtlichen oder absichtlichen Verlust der Vertraulichkeit, Integrität oder Verfügbarkeit, sowie zur Vermeidung des Verlustes der Integrität und Verfügbarkeit der Systeme selbst. INFOSEC-Maßnahmen erstrecken sich auf die Sicherheit von Computern, die Sicherheit der Übertragung, die Sicherheit vor Abstrahlung und die kryptografische Sicherheit sowie die Aufdeckung, Dokumentation und Bekämpfung von Bedrohungen für Informationen und SYSTEME.

19.

COMPUTERSICHERHEIT (COMPUSEC) bezeichnet den Einsatz der Sicherheitseigenschaften von Hardware, Firmware und Software eines Computersystems zum Schutz vor unerlaubter Preisgabe, Manipulation, Änderung bzw. Löschung von Informationen sowie vor einem Systemausfall (Denial of Service).

20.

COMPUTERSICHERHEITSPRODUKT ist ein allgemeines, der Computersicherheit dienendes Produkt, das zur Integration in ein IT-System und zur Verbesserung bzw. Gewährleistung der Vertraulichkeit, Integrität oder Verfügbarkeit der verarbeiteten Informationen bestimmt ist.

21.

KOMMUNIKATIONSSICHERHEIT (COMSEC) bezeichnet die Anwendung von Sicherheitsmaßnahmen auf den Telekommunikationsverkehr, um zu verhindern, dass Unbefugte in den Besitz wertvoller Informationen gelangen, die aus dem Zugriff auf den Telekommunikationsverkehr und dessen Auswertung gewonnen werden könnten, oder um die Authenthizität des Telekommunikationsverkehrs sicherzustellen.

Diese Maßnahmen umfassen die kryptografische Sicherheit, die Sicherheit der Übermittlung und die Sicherheit vor Abstrahlung und ferner die verfahrens-, objekt- und personenbezogene Sicherheit sowie die Dokumenten- und Computersicherheit.

22.

EVALUATION bezeichnet die eingehende technische Prüfung der Sicherheitsaspekte eines SYSTEMS oder eines Produkts für kryptografische Sicherheit oder Computersicherheit durch eine zuständige Stelle.

23.

ZERTIFIZIERUNG bezeichnet eine — durch eine unabhängige Überprüfung der Durchführung und der Ergebnisse einer Evaluation gestützte — förmliche Bescheinigung darüber, inwieweit ein SYSTEM die Sicherheitsanforderungen erfüllt oder inwieweit ein Computersicherheitsprodukt vorgegebene Sicherheitsleistungen erbringt.

24.

AKKREDITIERUNG bezeichnet die Abnahme und Zulassung eines SYSTEMS zur Verarbeitung von EU-Verschlusssachen in seinem betrieblichen Umfeld.

Die Akkreditierung sollte erfolgen, nachdem alle einschlägigen sicherheitsrelevanten Verfahren durchgeführt worden sind und der Schutz der Systemressourcen in ausreichendem Maße sichergestellt worden ist. Die Akkreditierung sollte in der Regel auf der Grundlage der SSRS erfolgen und Folgendes umfassen:

25.

IT-SYSTEM bezeichnet eine Gesamtheit von Betriebsmitteln, Methoden und Verfahren sowie gegebenenfalls Personal, die zusammenwirken, um Aufgaben der Informationsverarbeitung zu erfüllen.

26.

Die SICHERHEITSEIGENSCHAFTEN EINES IT-SYSTEMS umfassen alle Funktionen, Merkmale und Eigenschaften der Hardware, Firmware und Software; dazu gehören die Betriebsverfahren, die Nachvollziehbarkeit, die Zugangs- und Zugriffskontrollen, die IT-Umgebung, die Umgebung dezentraler Terminals bzw. Datenstationen, der vorgegebene Managementrahmen, die physischen Strukturen und Geräte sowie Personal- und Kommunikationskontrollen, die erforderlich sind, um einen annehmbaren Schutz der Verschlusssachen sicherzustellen, die in einem IT-System verarbeitet werden sollen.

27.

IT-NETZ bezeichnet eine Gesamtheit von geografisch verteilten IT-Systemen, die für den Datenaustausch miteinander verbunden sind; darin eingeschlossen sind die Bestandteile der vernetzten IT-Systeme sowie deren Schnittstelle mit den zugrunde liegenden Daten- oder Kommunikationsnetzen.

28.

Die SICHERHEITSEIGENSCHAFTEN EINES IT-NETZES umfassen die Sicherheitseigenschaften der einzelnen IT-Systeme, aus denen das Netz besteht, sowie jene zusätzlichen Bestandteile und Eigenschaften, die mit dem Netz als solchem verbunden sind (z. B. Kommunikation im Netz, Mechanismen und Verfahren zur Sicherheitsidentifikation und zur Kennzeichnung, Zugriffskontrollen, Programme und automatische Ereignisprotokolle), und die erforderlich sind, um einen angemessenen Schutz der Verschlusssachen sicherzustellen.

29.

IT-UMGEBUNG bezeichnet einen Bereich, in dem sich ein oder mehrere Computer, deren lokale Peripheriegeräte und Speichereinheiten, Steuereinheiten sowie ihnen fest zugeordnete Netz- und Kommunikationseinrichtungen befinden.

Nicht eingeschlossen sind davon abgetrennte Bereiche, in denen sich dezentrale Peripheriegeräte oder Terminals bzw. Datenstationen befinden, auch wenn diese an Geräte innerhalb der IT-Umgebung angeschlossen sind.

30.

UMGEBUNG VON DEZENTRALEN TERMINALS bzw. DATENSTATIONEN bezeichnet einen Bereich außerhalb einer IT-Umgebung, in dem sich Computer, deren lokale Peripheriegeräte oder Terminals bzw. Datenstationen und alle zugehörigen Kommunikationseinrichtungen befinden.

31.

TEMPEST-Schutzmaßnahmen (Transient Electromagnetic Pulse Emanation Standard) bezeichnen Sicherheitsmaßnahmen zum Schutz von Geräten und Kommunikationsinfrastruktur gegen die Preisgabe von Verschlusssachen durch unabsichtliche elektromagnetische Abstrahlung.

32.

Der Sicherheitsausschuss gemäß Abschnitt 1 Nummer 4 ist auch für INFOSEC-Fragen zuständig. Der Sicherheitsausschuss organisiert seine Tätigkeit so, dass er zu den vorstehenden Punkten sachverständigen Rat geben kann.

33.

Im Falle von Sicherheitsproblemen (Zwischenfälle, Verstoß gegen Vorschriften usw.) wird die zuständige einzelstaatliche Behörde und/oder das Sicherheitsbüro des Generalsekretariats des Rates sofort tätig. Alle Probleme werden dem Sicherheitsbüro des Generalsekretariats des Rates gemeldet.

34.

Der Generalsekretär/Hohe Vertreter oder gegebenenfalls der Leiter einer dezentralen EU-Einrichtung richten ein INFOSEC-Büro ein, das für die Sicherheitsbehörde Leitlinien für die Implementierung und Kontrolle spezieller Sicherheitseigenschaften als Bestandteile von SYSTEMEN vorgibt.

35.

Die SAA ist entweder

36.

Die SAA hat sicherzustellen, dass die SYSTEME dem Sicherheitskonzept des Rates entsprechen. Sie hat unter anderem die Aufgabe, die Verarbeitung von EU-Verschlusssachen bis zu einem bestimmten Geheimhaltungsgrad mit dem betreffenden SYSTEM in seinem betrieblichen Umfeld zu genehmigen. Für das Generalsekretariat des Rates und gegebenenfalls die dezentralen EU-Einrichtungen trägt die SAA die Verantwortung für die Sicherheit im Namen des Generalsekretärs/Hohen Vertreters bzw. im Namen der Leiter der dezentralen Einrichtung.

Die Zuständigkeit der SAA des Generalsekretariats des Rates erstreckt sich auf alle SYSTEME, die innerhalb der Räumlichkeiten des Generalsekretariats des Rates betrieben werden. SYSTEME und Bestandteile von SYSTEMEN, die in einem Mitgliedstaat betrieben werden, verbleiben in der Zuständigkeit dieses Mitgliedstaats. Wenn unterschiedliche Bestandteile eines SYSTEMS in die Zuständigkeit der SAA des Generalsekretariats des Rates und anderer SAA fallen, ernennen alle Parteien ein gemeinsames Akkreditierungsgremium, dessen Koordinierung die SAA des Generalsekretariats des Rates übernimmt.

37.

Die INFOSEC-Stelle ist für die Tätigkeiten des INFOSEC-Büros verantwortlich. Im Falle des Generalsekretariats des Rates und gegebenenfalls der dezentralen EU-Einrichtungen ist die INFOSEC-Stelle für Folgendes verantwortlich:

38.

Die INFOSEC-Stelle delegiert zum frühestmöglichen Zeitpunkt die Verantwortung für die Implementierung und die Anwendung von Kontrollen und speziellen Sicherheitseigenschaften des SYSTEMS an die für den Betrieb des IT-SYSTEMS zuständige Stelle (IT System Operational Authority, ITSOA). Diese Verantwortung besteht während der gesamten Lebensdauer des SYSTEMS von der Konzeption des Projekts bis zur endgültigen Entsorgung.

39.

Die ITSOA ist verantwortlich für alle Sicherheitsmaßnahmen, die als Teil des gesamten SYSTEMS konzipiert sind. Diese Verantwortung schließt die Erstellung von sicherheitsrelevanten Betriebsverfahren (Security Operating Procedures, SecOPs) ein. Die ITSOA legt die Sicherheitsstandards- und verfahren fest, die vom Lieferanten des SYSTEMS eingehalten werden müssen.

40.

Die ITSOA kann gegebenenfalls einen Teil ihrer Verantwortung delegieren, z. B. an den INFOSEC-Sicherheitsbeamten bzw. den für den Standort zuständigen INFOSEC-Sicherheitsbeamten. Die verschiedenen INFOSEC-Aufgaben können von einer einzigen Person wahrgenommen werden.

41.

Alle Nutzer müssen sicherstellen, dass ihr Handeln die Sicherheit des von ihnen verwendeten SYSTEMS nicht beeinträchtigt.

42.

Ausbildung und Schulung im INFOSEC-Bereich wird je nach Sachlage auf den verschiedenen Ebenen und für unterschiedliches Personal innerhalb des Generalsekretariats des Rates, der dezentralen EU-Einrichtungen oder der Behörden der Mitgliedstaaten angeboten.

43.

Nutzer des SYSTEMS müssen sich erfolgreich einer Sicherheitsüberprüfung unterzogen haben, die dem Geheimhaltungsgrad der in ihrem bestimmten SYSTEM verarbeiteten Informationen entspricht, und sie müssen einen entsprechenden berechtigten Informationsbedarf haben. Der Zugang zu bestimmten Einrichtungen oder Informationen, die für die SYSTEME sicherheitsrelevant sind, erfordert eine besondere Ermächtigung, die gemäß den Verfahren des Rates erteilt wird.

44.

Die SAA benennt alle sicherheitskritischen Arbeitsplätze und legt fest, welcher Sicherheitsüberprüfung und Überwachung sich alle Personen an diesen Arbeitsplätzen unterziehen müssen.

45.

SYSTEME werden so spezifiziert und konzipiert, dass die Zuweisung von Aufgaben und Zuständigkeiten erleichtert wird und dass vermieden wird, dass eine einzige Person umfassende Kenntnis oder Kontrolle über die für die Systemsicherheit entscheidenden Punkte erhält. Damit wird bezweckt, dass für eine Änderung oder absichtliche Schädigung des Systems oder Netzes eine Absprache zwischen zwei oder mehr Personen erforderlich wäre.

46.

IT-Umgebungen und Umgebungen von dezentralen Terminals bzw. Datenstationen (gemäß den Nummern 29 und 30), in denen als „CONFIDENTIEL UE“ und höher eingestufte Informationen mit informationstechnischen Mitteln verarbeitet werden oder in denen der Zugriff auf solche Informationen potenziell möglich ist, werden je nach Sachlage als EU-Sicherheitsbereiche der Kategorie I oder II bzw. gemäß deren einzelstaatlichen Entsprechungen eingestuft.

47.

IT-Umgebungen und Umgebungen von dezentralen Terminals bzw. Datenstationen, in denen die Sicherheit des SYSTEMS beeinflusst werden kann, dürfen nicht mit nur einem befugten Beamten oder sonstigen Bediensteten besetzt werden.

48.

Alle Informationen und jegliches Material, das die Kontrolle des Zugangs zu einem SYSTEM ermöglicht, werden durch Vorkehrungen geschützt, die dem höchsten Geheimhaltungsgrad und der Kategorie von Informationen, zu denen sie Zugang gewähren könnten, entsprechen.

49.

Informationen und Material zur Zugangskontrolle werden gemäß den Nummern 61 bis 63 vernichtet, wenn sie nicht mehr zu diesem Zweck verwendet werden.

50.

Der Urheber einer Information hat die Aufgabe, alle informationstragenden Dokumente zu identifizieren und ihnen einen Geheimhaltungsgrad zuzuordnen, unabhängig davon, ob sie als Papierausdruck oder auf einem elektronischen Datenträger vorliegen. Auf jeder Seite eines Papierausdrucks wird oben und unten der Geheimhaltungsgrad vermerkt. Jeder Ausgabe, ob als Papierausdruck oder auf einem elektronischen Datenträger, wird der höchste Geheimhaltungsgrad der zu ihrer Erstellung verarbeiteten Informationen zugeordnet. Die Betriebsart eines SYSTEMS kann den Geheimhaltungsgrad für Ausgaben dieses Systems ebenfalls beeinflussen.

51.

Eine Organisation und ihre Informationsträger müssen sich mit der Problematik der Zusammenstellung einzelner Informationsbestandteile und den Schlussfolgerungen, die aus den miteinander verknüpften Bestandteilen gewonnen werden können, auseinander setzen und entscheiden, ob die Gesamtheit der Informationen höher eingestuft werden muss oder nicht.

52.

Die Tatsache, dass die Information in einer Kurzform, als Übertragungscode oder in einer beliebigen binären Darstellung vorliegt, bietet keinen Schutz und sollte deshalb die Einstufung der Information nicht beeinflussen.

53.

Wenn Informationen von einem SYSTEM zu einem anderen übertragen werden, werden diese Informationen bei der Übertragung und im Empfängersystem entsprechend dem ursprünglichen Geheimhaltungsgrad und der ursprünglichen Kategorie geschützt.

54.

Die Behandlung aller elektronischen Datenträger muss dem höchsten Geheimhaltungsgrad der gespeicherten Informationen bzw. der Datenträger-Kennzeichnung entsprechen; elektronische Datenträger müssen jederzeit angemessen geschützt werden.

55.

Wieder verwendbare elektronische Datenträger, die zur Speicherung von EU-Verschlusssachen verwendet werden, behalten den höchsten Geheimhaltungsgrad bei, für den sie jemals verwendet wurden, bis diese Informationen ordnungsgemäß herabgestuft worden sind oder der Geheimhaltungsgrad aufgehoben wurde und der Datenträger entsprechend neu eingestuft beziehungsweise der Geheimhaltungsgrad aufgehoben oder durch ein zugelassenes Verfahren des Generalsekretariats des Rates oder eines Mitgliedstaats vernichtet wurde (siehe Nummern 61 bis 63).

56.

Der Zugriff auf Informationen, die als „SECRET UE“ und höher eingestuft sind, wird automatisch („audit trails“) oder manuell protokolliert und dokumentiert. Die Protokolle werden im Einklang mit diesen Sicherheitsvorschriften aufbewahrt.

57.

EU-Verschlusssachen, die als Ausgaben innerhalb der IT-Umgebung vorliegen, können als eine einzige Verschlusssache behandelt werden und brauchen nicht registriert zu werden, sofern sie in geeigneter Weise identifiziert, mit dem Geheimhaltungsgrad gekennzeichnet und angemessen kontrolliert werden.

58.

Für die Fälle, in denen ein SYSTEM, in dem EU-Verschlusssachen verarbeitet werden, Ausgaben erstellt und diese Ausgaben aus einer IT-Umgebung in die Umgebung von dezentralen Terminals bzw. Datenstationen übermittelt werden, werden — von der SAA genehmigte — Verfahren festgelegt, um die Ausgabe an den dezentralen Standorten zu kontrollieren. Für Informationen, die als „SECRET UE“ oder höher eingestuft sind, beinhalten diese Verfahren besondere Anweisungen für die Nachvollziehbarkeit in Bezug auf diese Informationen.

59.

Alle austauschbaren elektronischen Datenträger, die als „CONFIDENTIEL UE“ und höher eingestuft sind, werden als Material angesehen und unterliegen den allgemeinen Regeln. Die Identifizierung und Kennzeichnung des Geheimhaltungsgrades muss an das besondere physische Erscheinungsbild der Datenträger angepasst werden, so dass diese eindeutig erkannt werden können.

60.

Die Nutzer sind dafür verantwortlich, dass EU-Verschlusssachen auf Datenträgern gespeichert werden, die korrekt mit dem Geheimhaltungsgrad gekennzeichnet sind und angemessen geschützt werden. Um sicherzustellen, dass die Speicherung von Informationen auf elektronischen Datenträgern für alle EU-Geheimhaltungsgrade im Einklang mit diesen Sicherheitsvorschriften erfolgt, werden entsprechende Verfahren festgelegt.

61.

Elektronische Datenträger, die zur Speicherung von EU-Verschlusssachen verwendet werden, können herabgestuft werden oder ihr Geheimhaltungsgrad kann aufgehoben werden, sofern Verfahren angewandt werden, die vom Generalsekretariat des Rates oder einem Mitgliedstaat zugelassen sind.

62.

Elektronische Datenträger, die Informationen des Geheimhaltungsgrades „TRÈS SECRET UE/EU TOP SECRET“ oder Informationen spezieller Kategorien enthalten haben, werden nicht freigegeben oder wiederverwendet.

63.

Wenn elektronische Datenträger nicht freigegeben werden können oder nicht wiederverwendbar sind, werden sie nach einem vom Generalsekretariat des Rates oder einem Mitgliedstaat zugelassenen Verfahren vernichtet.

64.

Wenn EU-Verschlusssachen elektromagnetisch übermittelt werden, werden besondere Maßnahmen zum Schutz von Vertraulichkeit, Integrität und Verfügbarkeit solcher Übermittlungsvorgänge ergriffen. Die SAA legt die Anforderungen an den Schutz von Übermittlungsvorgängen vor Aufdeckungs- und Abhörmaßnahmen fest. Der Schutz von Informationen, die in einem Kommunikationssystem übermittelt werden, richtet sich nach den Anforderungen an die Vertraulichkeit, Integrität und Verfügbarkeit.

65.

Wenn zum Schutz von Vertraulichkeit, Integrität und Verfügbarkeit kryptografische Methoden erforderlich sind, werden diese Methoden oder damit verbundene Produkte speziell zu diesem Zweck von der SAA zugelassen.

66.

Während der Übermittlung wird die Vertraulichkeit von als „SECRET UE“ und höher eingestuften Informationen durch kryptografische Methoden oder Produkte geschützt, die vom Rat auf Empfehlung des Sicherheitsausschusses des Rates zugelassen worden sind. Während der Übermittlung wird die Vertraulichkeit von Informationen des Geheimhaltungsgrades „CONFIDENTIEL UE“ oder „RESTREINT UE“ durch kryptografische Methoden oder Produkte geschützt, die entweder vom Generalsekretär/Hohen Vertreter auf Empfehlung des Sicherheitsausschusses des Rates oder von einem Mitgliedstaat zugelassen worden sind.

67.

Detaillierte Regeln für die Übermittlung von EU-Verschlusssachen werden in besonderen Sicherheitsanweisungen festgelegt, die vom Rat auf Empfehlung des Sicherheitsausschusses des Rates erlassen werden.

68.

Unter außergewöhnlichen Betriebsbedingungen können Informationen der Geheimhaltungsgrade „RESTREINT UE“, „CONFIDENTIEL UE“ und „SECRET UE“ als Klartext übermittelt werden, sofern dies in jedem einzelnen Fall ausdrücklich genehmigt wird. Solche außergewöhnlichen Bedingungen sind gegeben

69.

Ein SYSTEM muss in der Lage sein, bei Bedarf den Zugriff auf EU-Verschlusssachen an einzelnen oder allen seiner dezentralen Datenstationen bzw. Terminals zu verweigern, und zwar entweder durch eine physische Abschaltung oder durch spezielle, von der SAA genehmigte Softwarefunktionen.

70.

Die Erstinstallation von SYSTEMEN und nachfolgende größere Änderungen werden so geregelt, dass die Arbeiten von sicherheitsüberprüften Personen durchgeführt und ständig durch technisch qualifiziertes Personal überwacht werden, das zum Zugang zu EU-Verschlusssachen des höchsten im SYSTEM voraussichtlich gespeicherten und verarbeiteten Geheimhaltungsgrades ermächtigt ist.

71.

Alle Einrichtungen werden im Einklang mit dem aktuellen Sicherheitskonzept des Rates installiert.

72.

SYSTEME, in denen als „CONFIDENTIEL UE“ und höher eingestufte Informationen verarbeitet werden, werden so geschützt, dass ihre Sicherheit nicht durch kompromittierende Abstrahlung bedroht werden kann, wobei entsprechende Analyse- und Kontrollmaßnahmen als „TEMPEST“ bezeichnet werden.

73.

TEMPEST-Gegenmaßnahmen bei Installationen im Generalsekretariat des Rates und in dezentralen EU-Einrichtungen werden von einer für TEMPEST zuständigen Stelle überprüft und genehmigt, die von der Sicherheitsstelle des Generalsekretariats des Rates bestimmt wird. Im Falle einzelstaatlicher Einrichtungen, in denen EU-Verschlusssachen verarbeitet werden, ist die anerkannte nationale TEMPEST-Zulassungsstelle für die Genehmigung zuständig.

74.

In den sicherheitsbezogenen Betriebsverfahren (SecOPs) werden die in Sicherheitsfragen geltenden Grundsätze, die einzuhaltenden Betriebsverfahren sowie die Zuständigkeiten des Personals festgelegt. Für die Erstellung der sicherheitsbezogenen Betriebsverfahren ist die für den Betrieb des IT-Systems zuständige Stelle (ITSOA) verantwortlich.

75.

Der Schutz von Anwendungsprogrammen wird auf der Grundlage einer Bewertung der Sicherheitseinstufung des Programms selbst festgelegt, und nicht aufgrund der Einstufung der zu verarbeitenden Informationen. Die benutzten Software-Versionen sollten in regelmäßigen Abständen überprüft werden, um ihre Integrität und korrekte Funktion sicherzustellen.

76.

Neue oder geänderte Versionen einer Software sollten erst für die Verarbeitung von EU-Verschlusssachen benutzt werden, wenn sie von der ITSOA geprüft worden sind.

77.

Die Prüfung auf das Vorhandensein von Programmen mit Schadensfunktionen und von Computerviren wird regelmäßig durchgeführt, und zwar im Einklang mit den Anforderungen der SAA.

78.

Alle elektronischen Datenträger, die im Generalsekretariat des Rates, in dezentralen EU-Einrichtungen oder in Stellen der Mitgliedstaaten eingehen, sollten auf das Vorhandensein von Programmen mit Schadensfunktionen und von Computerviren überprüft werden, bevor sie in ein SYSTEM eingebracht werden.

79.

In Verträgen und Verfahrensanweisungen für die planmäßige und außerplanmäßige Wartung von SYSTEMEN, für die eine SSRS erstellt worden ist, werden Anforderungen und Vorkehrungen für den Zutritt von Wartungspersonal zu einer IT-Umgebung und für die zugehörige Wartungsausrüstung festgelegt.

80.

Die Anforderungen werden in der SSRS und die Verfahren in den SecOPs präzise festgelegt. Wartungsarbeiten durch einen Auftragnehmer, die Diagnoseverfahren mit Fernzugriff erfordern, sind nur unter außergewöhnlichen Umständen und unter strenger Sicherheitskontrolle und nur nach Genehmigung durch die SAA zulässig.

81.

Jedes zu beschaffende Sicherheitsprodukt, das zusammen mit dem SYSTEM verwendet werden soll, sollte auf der Grundlage international anerkannter Kriterien (wie z. B. Common Criteria for Information Technology Security Evaluation, ISO 15408) entweder bereits evaluiert und zertifiziert sein oder sich in der Phase der Evaluation und Zertifizierung durch eine geeignete Evaluations- und Zertifizierungsstelle befinden.

82.

Bei der Überlegung, ob Ausrüstung, insbesondere elektronische Speichermedien, eher geleast als gekauft werden soll, sollte berücksichtigt werden, dass diese Ausrüstung, sobald sie zur Verarbeitung von EU-Verschlusssachen verwendet wurde, nicht mehr aus einem angemessen sicheren Umfeld herausgegeben werden kann, ohne dass sie zuvor mit Zustimmung der SAA freigegeben worden ist, und dass diese Zustimmung eventuell nicht immer gegeben werden kann.

93.

Mikrocomputer bzw. PCs mit eingebauten Speicherplatten (oder anderen nichtflüchtigen Datenträgern), die als Einzelrechner oder in einem Netz betrieben werden, sowie tragbare Computer (z. B. tragbare PCs und Notebook-Computer) mit eingebauten Festplatten werden im selben Sinne wie Disketten oder andere austauschbare elektronische Datenträger als Speichermedium für Informationen eingestuft.

94.

Der Schutz dieser Geräte muss in Bezug auf Zugang, Verarbeitung, Speicherung und Transport dem höchsten Geheimhaltungsgrad der jemals gespeicherten oder verarbeiteten Informationen entsprechen (bis zur Herabstufung oder Aufhebung des Geheimhaltungsgrades gemäß genehmigter Verfahren).

95.

Die Nutzung von privaten austauschbaren elektronischen Datenträgern, privater Software und IT-Hardware mit Speichermöglichkeit (z. B. PCs und tragbare Computer) zur Verarbeitung von EU-Verschlusssachen ist untersagt.

96.

Private Hardware, Software und Speichermedien dürfen in Bereiche der Kategorien I oder II, in denen EU-Verschlusssachen verarbeitet werden, nur mit Erlaubnis des Leiters des Sicherheitsbüros des Generalsekretariats des Rates, einer Stelle eines Mitgliedstaats oder der jeweiligen dezentralen EU-Einrichtung verbracht werden.

97.

Die Nutzung von IT-Ausrüstung und Software eines Auftragnehmers für dienstliche Zwecke des Rates kann vom Leiter des Sicherheitsbüros des Generalsekretariats des Rates, einer einzelstaatlichen Stelle oder der jeweiligen dezentralen EU-Einrichtung genehmigt werden. Die Verwendung der IT-Ausrüstung und Software eines Mitgliedstaats durch Bedienstete des Generalsekretariats des Rates oder einer dezentralen EU-Einrichtung kann ebenfalls erlaubt werden; in diesem Fall unterliegt die IT-Ausrüstung der jeweiligen Bestandskontrolle des Generalsekretariats des Rates. Wenn die IT-Ausrüstung zur Verarbeitung von EU-Verschlusssachen verwendet werden soll, wird in jedem Fall die zuständige SAA konsultiert, damit die INFOSEC-Aspekte, die auf die Nutzung dieser Ausrüstung anwendbar sind, angemessen berücksichtigt und umgesetzt werden.

1.

Über die Weitergabe von EU-Verschlusssachen an Drittstaaten oder internationale Organisationen beschließt der Rat nach Maßgabe

Der Mitgliedstaat, aus dem die EU-Verschlusssache stammt, die weitergegeben werden soll, wird um Zustimmung ersucht.

2.

Einschlägige Beschlüsse werden von Fall zu Fall gefasst und richten sich nach

3.

Durch die Annahme von EU-Verschlusssachen verpflichten sich die betreffenden Drittstaaten oder internationalen Organisationen, die übermittelten Informationen nur zu den Zwecken zu verwenden, für die die Weitergabe oder der Austausch von Informationen beantragt worden ist, und den vom Rat verlangten Schutz zu bieten.

4.

Hat der Rat beschlossen, die Weitergabe oder den Austausch von Verschlusssachen im Falle eines bestimmten Staates oder einer internationalen Organisation zu gestatten, so legt er außerdem fest, wie weit diese Zusammenarbeit gehen kann. Dies hängt insbesondere von dem Sicherheitskonzept und den Sicherheitsvorschriften dieses Staates oder dieser Organisation ab.

5.

Es gibt drei Kooperationsstufen:

Stufe 1Zusammenarbeit mit Drittstaaten oder internationalen Organisationen, deren Sicherheitskonzept und -vorschriften sehr weitgehend mit denen der EU übereinstimmen;

Stufe 2Zusammenarbeit mit Drittstaaten oder internationalen Organisationen, deren Sicherheitskonzept und -vorschriften deutlich von denen der EU abweichen;

Stufe 3Gelegentliche Zusammenarbeit mit Drittstaaten oder internationalen Organisationen, deren Sicherheitskonzept und -vorschriften nicht eingeschätzt werden können.

6.

Die Sicherheitsvorschriften, die angesichts des technischen Gutachtens des Sicherheitsausschusses des Rates im Einzelfall angepasst werden und deren Anwendung von den Empfängern zum Schutz der an sie weitergegebenen Verschlusssachen verlangt wird, richten sich nach den verschiedenen Kooperationsstufen. Diese Verfahren und Sicherheitsvorschriften sind in den Anhängen 4, 5 und 6 detailliert dargelegt.

7.

Beschließt der Rat, dass ein ständiger oder langfristiger Austausch von Verschlusssachen zwischen der EU und Drittstaaten oder anderen internationalen Organisationen erforderlich ist, so arbeitet er mit diesen „Abkommen über die Sicherheitsverfahren für den Austausch von Verschlusssachen“ aus, die das Ziel der Zusammenarbeit und die gegenseitigen Vorschriften für den Schutz der ausgetauschten Informationen festlegen.

8.

Für den Fall einer gelegentlichen Zusammenarbeit im Rahmen der Stufe 3, die per Definition zeitlich und sachlich begrenzt ist, kann eine einfache Vereinbarung, die die Art der auszutauschenden Verschlusssache und die gegenseitigen Verpflichtungen festlegt, an die Stelle des „Abkommens über die Sicherheitsverfahren für den Austausch von Verschlusssachen“ treten, sofern die Verschlusssache nicht höher als „RESTREINT UE“ eingestuft ist.

9.

Die Entwürfe für Abkommen über die Sicherheitsverfahren oder für Vereinbarungen werden vom Sicherheitsausschuss gebilligt, bevor sie dem Rat zur Entscheidung vorgelegt werden.

10.

Die nationalen Sicherheitsbehörden gewähren dem Generalsekretär/Hohen Vertreter alle erforderliche Unterstützung, damit sichergestellt ist, dass die Informationen, die weitergegeben werden sollen, gemäß den Bestimmungen der Abkommen über die Sicherheitsverfahren oder der betreffenden Vereinbarungen genutzt und geschützt werden.

Telephone Secretariat

:

+ 32/2/519 05 74

Telephone Presidency

:

+ 32/2/501 82 20

+ 32/2/501 87 10

Fax

:

+ 32/2/519 05 96

Tel.

:

(420) 257 28 33 35

Fax

:

(420) 257 28 31 10

Telephone

:

(45) 33 14 88 88

Fax

:

(45) 33 43 01 90

Telephone

:

(45) 33 32 55 66

Fax

:

(45) 33 93 13 20

Telefon

:

+ 49-1-888 681 15 26

Fax

:

+ 49-1-888 681 558 06

Telephone

:

+ 372/717 00 30

+ 372/717 00 31

+ 372/717 00 77

Fax

:

+ 372/717 00 01

Τηλέφωνα

:

(30-210) 657 20 09 (ώρες γραφείου)

(30-210) 657 20 10 (ώρες γραφείου)

Φαξ

:

(30-210) 642 64 32

(30-210) 652 76 12

Telephone

:

(30-210) 657 20 09 (office hours)

(30-210) 657 20 10 (office hours)

Fax

:

(30-210) 642 64 32

(30-210) 652 76 12

Telephone

:

+ 34/913 72 57 07

+ 34/913 72 50 27

Fax

:

+ 34/913 72 58 08

Telephone

:

+ 33/1/71 75 81 77

Fax

:

+ 33/1/71 75 82 00

Telephone

(353-1) 478 08 22

Fax

(353-1) 478 14 84

Telephone

:

+ 39/06/611 742 66

Fax

:

+ 39/06/488 52 73

Τηλέφωνα

:

(357-22) 80 75 69

(357-22) 80 75 19

(357-22) 80 77 64

Φαξ

:

(357-22) 30 23 51

Telephone

:

(357-22) 80 75 69

(357-22) 80 75 19

(357-22) 80 77 64

Fax

:

(357-22) 30 23 51

Telephone

:

+ 371/702 54 18

Fax

:

+ 371/702 54 54

Telephone

:

+ 370/5/266 32 01

Fax

:

+ 370/5/266 32 00

Telephone

:

+ 352/478 22 10 central

+ 352/478 22 35 direct

Fax

:

+ 352/478 22 43

+ 352/478 22 71

Telephone

:

+ 361/346 96 52

Fax

:

+ 361/346 96 58

Telephone

:

+ 356/21 24 98 44

Fax

:

+ 356/21 23 53 00

Telephone

:

(31-70) 320 44 00

Fax

:

(31-70) 320 07 33

Telephone

:

(31-70) 318 70 60

Fax

:

(31-70) 318 75 22

Telefon

:

+ 43-1-531 15 23 96

Fax

:

+ 43-1-531 15 25 08

Telephone

:

+ 48/22/684 13 62

Fax

:

+ 48/22/684 10 76

Telephone

:

+ 48/22/585 73 60

Fax

:

+ 48/22/585 85 09

Tel.

:

(351) 21 301 17 10

Fax

:

(351) 21 303 17 11

Tel.:

(386-1) 426 91 20

Faks:

(386-1) 426 91 21

Telephone

:

+ 421/2/68 69 23 14

Fax

:

+ 421/2/68 69 17 00

Telephone

:

(358-9) 16 05 53 38

Fax

:

(358-9) 16 05 53 03

Telephone

:

+ 46/8/405 54 44

Fax

:

+ 46/8/723 11 76

Telephone

(44-207) 930 87 68

Fax

(44-207) 821 86 04

1.

Für die Weitergabe von EU-Verschlusssachen an Länder, die nicht Unterzeichner des Vertrags über die Europäische Union sind, oder an andere internationale Organisationen, deren Sicherheitskonzept und -vorschriften mit denen der EU vergleichbar sind, ist der Rat zuständig.

2.

Der Rat kann seine Entscheidungsbefugnis hinsichtlich der Weitergabe von Verschlusssachen übertragen. Bei seiner Übertragung legt er die Art der Informationen, die weitergegeben werden können, und deren Geheimhaltungsgrad — in der Regel nicht höher als „CONFIDENTIEL UE“ — fest.

3.

Vorbehaltlich des Abschlusses eines Geheimschutzabkommens sind die Anträge auf Weitergabe von EU-Verschlusssachen durch die Sicherheitsbehörden der betreffenden Länder oder internationalen Organisationen an den Generalsekretär/Hohen Vertreter zu richten; sie führen Nutzungszweck und Art der Verschlusssache an, die weitergegeben werden soll.

Anträge können auch durch einen Mitgliedstaat oder eine dezentrale EU-Einrichtung gestellt werden, der bzw. die eine Weitergabe der EU-Verschlusssache für wünschenswert hält; sie führen Ziele und Vorteile einer solchen Weitergabe für die EU sowie Art und Geheimhaltungsgrad der Informationen an, die weitergegeben werden sollen.

4.

Der Antrag wird vom Generalsekretariat des Rates geprüft. Dieses

5.

Das Generalsekretariat des Rates legt dem Rat den Antrag und die Empfehlung des Sicherheitsbüros zur Entscheidung vor.

6.

Der Generalsekretär/Hohe Vertreter stellt den als Empfänger vorgesehenen Ländern oder internationalen Organisationen den Beschluss des Rates zur Genehmigung der Weitergabe von EU-Verschlusssachen zu und übermittelt ihnen die für notwendig erachtete Anzahl von Exemplaren dieser Sicherheitsvorschriften. Wurde der Antrag von einem Mitgliedstaat gestellt, so teilt dieser Staat dem Empfänger die Genehmigung der Weitergabe mit.

Der Weitergabebeschluss tritt nur dann in Kraft, wenn die Empfänger sich schriftlich verpflichten,

7.

Personal

8.

Übermittlung von Dokumenten

9.

Registrierung

Sobald eine Registratur ein als „CONFIDENTIEL UE“ oder höher eingestuftes EU-Dokument erhält, trägt sie dieses Dokument in einem eigens dafür angelegten Register ihrer Organisation ein; dieses Register umfasst Spalten, in denen das Eingangsdatum, die Bestimmungsmerkmale des Dokuments (Datum, Aktenzeichen und Nummer des Exemplars), seinen Geheimhaltungsgrad, sein Titel, der Name oder Titel des Empfängers, das Rücksendedatum der Empfangsbestätigung und das Datum, zu dem das Dokument an den EU-Herausgeber zurückgesandt oder vernichtet wird, zu verzeichnen sind.

10.

Vernichtung

11.

Schutz der Dokumente

Es sind alle erforderlichen Maßnahmen zu ergreifen, damit Unbefugte keinen Zugang zu EU-Verschlusssachen erhalten.

12.

Kopien, Übersetzungen und Auszüge

Fotokopien, Übersetzungen oder Auszüge eines als „CONFIDENTIEL UE“ oder „SECRET UE“ eingestuften Dokuments dürfen nur mit Genehmigung des Leiters des betroffenen Sicherheitsorgans angefertigt werden, der diese Kopien, Übersetzungen oder Auszüge registriert und prüft und nötigenfalls mit einem Stempel versieht.

Die Vervielfältigung oder Übersetzung eines Dokuments der Stufe „TRÈS SECRET UE/EU TOP SECRET“ kann nur von der Behörde genehmigt werden, von der das Dokument stammt; sie legt die Anzahl der zulässigen Exemplare fest; kann die Behörde, von der das Dokument stammt, nicht ermittelt werden, so ist der Antrag an das Sicherheitsbüro des Generalsekretariats des Rates zu richten.

13.

Verstöße gegen die Sicherheitsvorschriften

Bei Verstößen gegen die Sicherheitsvorschriften im Zusammenhang mit einer EU-Verschlusssache oder bei einem entsprechenden Verdacht sollten vorbehaltlich des Abschlusses eines Geheimschutzabkommens unverzüglich folgende Schritte unternommen werden:

14.

Inspektionen

Das Sicherheitsbüro des Generalsekretariats des Rates kann im Benehmen mit den betreffenden Staaten oder internationalen Organisationen eine Bewertung der Effizienz der Maßnahmen zum Schutz der weitergegebenen EU-Verschlusssachen vornehmen.

15.

Berichterstattung

Solange Staaten oder internationale Organisationen EU-Verschlusssachen aufbewahren, erstellen sie vorbehaltlich des Abschlusses eines Geheimschutzabkommens jährlich zu dem Datum, das in der Genehmigung zur Informationsweitergabe angegeben ist, einen Bericht, mit dem bestätigt wird, dass diese Sicherheitsvorschriften eingehalten wurden.

1.

Für die Weitergabe von EU-Verschlusssachen an Drittstaaten oder internationale Organisationen, deren Sicherheitskonzept und -vorschriften deutlich von denen der EU abweichen, ist der Rat zuständig. Prinzipiell beschränkt sich die Weitergabe auf Informationen bis einschließlich des Geheimhaltungsgrades „SECRET UE“; einzelstaatliche Informationen, die speziell den Mitgliedstaaten vorbehalten sind, und durch besondere Kennzeichnungen geschützte Kategorien von EU-Verschlusssachen sind davon ausgeschlossen.

2.

Der Rat kann seine Entscheidungsbefugnis in diesem Bereich übertragen. Bei einer Übertragung legt er in den Grenzen der in Nummer 1 festgelegten Einschränkungen die Art der Informationen, die weitergegeben werden können, und deren Geheimhaltungsgrad — nicht höher als „RESTREINT UE“ — fest.

3.

Vorbehaltlich des Abschlusses eines Geheimschutzabkommens sind die Anträge auf Weitergabe von EU-Verschlusssachen durch die Sicherheitsbehörden der betreffenden Länder oder internationalen Organisationen an den Generalsekretär/Hohen Vertreter zu richten; sie führen Nutzungszweck, Art und Geheimhaltungsgrad der Informationen an, die weitergegeben werden sollen.

Anträge können auch durch einen Mitgliedstaat oder eine dezentrale EU-Einrichtung gestellt werden, der bzw. die eine Weitergabe der EU-Verschlusssache für wünschenswert hält; sie führen Ziele und Vorteile einer solchen Weitergabe für die EU sowie Art und Geheimhaltungsgrad der Informationen an, die weitergegeben werden sollen.

4.

Der Antrag wird vom Generalsekretariat des Rates geprüft. Dieses

5.

In seinem technischen Gutachten äußert sich der Sicherheitsausschuss des Rates zu folgenden Aspekten:

6.

Der Generalsekretär/Hohe Vertreter legt dem Rat den Antrag sowie das vom Sicherheitsbüro des Generalsekretariats des Rates eingeholte technische Gutachten des Sicherheitsausschusses zur Entscheidung vor.

7.

Der Beschluss des Rates zur Genehmigung der Weitergabe von EU-Verschlusssachen wird den als Empfänger vorgesehenen Ländern oder internationalen Organisationen vom Generalsekretär/Hohen Vertreter zusammen mit einer Vergleichstabelle der in der EU und in den betreffenden Staaten bzw. Organisationen geltenden Geheimhaltungsgrade bekannt gemacht. Wurde der Antrag von einem Mitgliedstaat gestellt, so teilt dieser Staat dem Empfänger die Genehmigung der Weitergabe mit.

Der Weitergabebeschluss tritt nur dann in Kraft, wenn die Empfänger sich schriftlich verpflichten,

8.

Es werden folgende Schutzvorschriften festgelegt, sofern nicht der Rat nach Einholung des technischen Gutachtens des Sicherheitsausschusses des Rates ein besonderes Verfahren (Streichung des Einstufungsvermerks, der besonderen Kennzeichnung usw.) für die Behandlung von EU-Verschlusssachen vorsieht.

Die Vorschriften werden in diesem Fall angepasst.

9.

Personal

10.

Übermittlung von Dokumenten

11.

Registrierung am Bestimmungsort

Die nationale Sicherheitsbehörde des Empfängerstaats, die ihr gleichzusetzende Stelle, die in diesem Staat im Auftrag ihrer Regierung die von der EU weitergegebene Verschlusssache in Empfang nimmt, oder das Sicherheitsbüro der als Empfänger vorgesehenen internationalen Organisation legt ein spezielles Register für EU-Verschlusssachen an und registriert diese, sobald sie dort eingehen. Dieses Register umfasst Spalten, in denen das Eingangsdatum, die Bestimmungsmerkmale des Dokuments (Datum, Aktenzeichen und Nummer des Exemplars), sein Geheimhaltungsgrad, sein Titel, der Name oder Titel des Empfängers, das Rücksendedatum der Empfangsbescheinigung und das Datum, zu dem das Dokument an die EU zurückgesandt oder vernichtet wird, zu verzeichnen sind.

12.

Rücksendung von Dokumenten

Bei Rücksendung einer Verschlusssache durch den Empfänger an den Rat oder an den Mitgliedstaat, der die Verschlusssache weitergegeben hat, ist das Verfahren der Nummer 10 zu befolgen.

13.

Schutz der Dokumente

14.

Physische Sicherheit

15.

Verstöße gegen die Sicherheitsvorschriften

Bei Verstößen gegen die Sicherheitsvorschriften im Zusammenhang mit einer EU-Verschlusssache oder bei einem entsprechenden Verdacht, sollten unverzüglich folgende Schritte unternommen werden:

16.

Inspektionen

Das Sicherheitsbüro des Generalsekretariats des Rates kann im Benehmen mit den betreffenden Staaten oder internationalen Organisationen eine Bewertung der Effizienz der Maßnahmen zum Schutz der weitergegebenen EU-Verschlusssachen vornehmen.

17.

Berichterstattung

Solange Staaten oder Organisationen EU-Verschlusssachen aufbewahren, erstellen sie jährlich zu dem Datum, das in der Genehmigung zur Informationsweitergabe angegeben ist, einen Bericht, mit dem bestätigt wird, dass diese Sicherheitsvorschriften eingehalten wurden.

1.

Es kann gelegentlich vorkommen, dass der Rat unter bestimmten Umständen mit Staaten oder Organisationen zusammenarbeiten möchte, die die von diesen Sicherheitsvorschriften verlangten Garantien nicht bieten können; eine solche Zusammenarbeit kann jedoch die Weitergabe von EU-Verschlusssachen erforderlich machen. Speziell den Mitgliedstaaten vorbehaltene nationale Informationen sind von dieser Weitergabe ausgenommen.

2.

Unter diesen besonderen Umständen werden Kooperationsanträge an die EU, gleichgültig ob sie von Drittstaaten oder internationalen Organisationen oder aber von den Mitgliedstaaten oder gegebenenfalls von dezentralen EU-Einrichtungen ausgehen, vom Rat zunächst inhaltlich geprüft; erforderlichenfalls holt der Rat eine Stellungnahme des Mitgliedstaats oder der dezentralen Einrichtung ein, von dem bzw. der die Informationen stammen. Der Rat prüft die Ratsamkeit einer Weitergabe von Verschlusssachen, bewertet, inwieweit der Empfänger Kenntnis von diesen Informationen haben muss, und beschließt, welche Kategorien von Verschlusssachen übermittelt werden können.

3.

Spricht der Rat sich für eine Weitergabe von Informationen aus, so obliegt es dem Generalsekretär/Hohen Vertreter, im Hinblick auf ein technisches Gutachten des Sicherheitsausschusses des Rates eine Sitzung dieses Ausschusses einzuberufen oder, falls zweckmäßig im Wege des vereinfachten schriftlichen Verfahrens, die nationalen Sicherheitsbehörden der Mitgliedstaaten um Auskunft zu ersuchen.

4.

In seinem technischen Gutachten äußert sich der Sicherheitsausschuss des Rates zu folgenden Aspekten:

5.

Dokumente, die an Staaten oder Organisationen weitergegeben werden, die unter diesen Anhang fallen, werden prinzipiell ohne Bezugnahme auf die Quelle oder eine EU-Einstufung erstellt. Der Sicherheitsausschuss des Rates kann empfehlen,

6.

Das Sicherheitsbüro des Generalsekretariats des Rates unterbreitet dem Rat das technische Gutachten des Sicherheitsausschusses und fügt nötigenfalls Vorschläge für die Kompetenzübertragungen hinzu, die zur Wahrnehmung der Aufgabe, insbesondere bei Dringlichkeit, erforderlich sind.

7.

Hat der Rat die Weitergabe von EU-Verschlusssachen beschlossen und die praktischen Durchführungsverfahren festgelegt, knüpft das Sicherheitsbüro des Generalsekretariats des Rates die nötigen Kontakte mit der Sicherheitsbehörde der betreffenden Staaten oder Organisationen, um die Anwendung der geplanten Sicherheitsmaßnahmen zu erleichtern.

8.

Als Referenzunterlage stellt das Sicherheitsbüro des Generalsekretariats des Rates allen Mitgliedstaaten und, soweit zweckmäßig, den betroffenen dezentralen EU-Einrichtungen eine Übersicht zu, in der Art und Einstufung der Informationen sowie die Organisationen und Länder aufgeführt werden, an welche die Informationen gemäß dem Beschluss des Rates weitergegeben werden können.

9.

Die nationale Sicherheitsbehörde des Mitgliedstaates, der die Weitergabe vornimmt, oder das Sicherheitsbüro des Generalsekretariats des Rates trifft alle erforderlichen Maßnahmen, um eine Bewertung späteren Schadens und eine Überarbeitung der Verfahren zu erleichtern.

10.

Der Rat wird erneut befasst, wenn die Bedingungen für eine Zusammenarbeit sich ändern.

11.

Der Beschluss des Rates zur Genehmigung der Weitergabe von EU-Verschlusssachen wird den als Empfänger vorgesehenen Ländern oder internationalen Organisationen vom Generalsekretär/Hohen Vertreter zusammen mit den vom Sicherheitsausschuss des Rates vorgeschlagenen und vom Rat angenommenen Schutzvorschriften bekannt gemacht. Wurde der Antrag von einem Mitgliedstaat gestellt, so teilt dieser Staat dem Empfänger die Genehmigung der Weitergabe mit.

Der Weitergabebeschluss tritt nur dann in Kraft, wenn die Empfänger sich schriftlich verpflichten,

12.

Übermittlung von Dokumenten

13.

Registrierung am Bestimmungsort

Die nationale Sicherheitsbehörde des Empfängerstaates, die ihr gleichzusetzende Stelle, die in diesem Staat im Auftrag ihrer Regierung die von der EU weitergegebene Verschlusssache in Empfang nimmt, oder das Sicherheitsbüro der als Empfänger vorgesehenen internationalen Organisation legt ein spezielles Register für EU-Verschlusssachen an und registriert diese, sobald sie dort eingehen. Dieses Register umfasst Spalten, in denen das Eingangsdatum, die Bestimmungsmerkmale des Dokuments (Datum, Aktenzeichen und Nummer des Exemplars), sein Geheimhaltungsgrad, sein Titel, der Name oder Titel des Empfängers, das Rücksendedatum der Empfangsbescheinigung und das Datum, zu dem das Dokument an die EU zurückgesandt oder vernichtet wird, zu verzeichnen sind.

14.

Verwendung und Schutz von ausgetauschten Verschlusssachen

15.

Vernichtung

Dokumente, für die keine Verwendung mehr besteht, sind zu vernichten. Für Verschlusssachen des Geheimhaltungsgrades „RESTREINT UE“ und „CONFIDENTIEL UE“ wird ein entsprechender Vermerk in die speziellen Register aufgenommen. Für „SECRET UE“-Verschlusssachen sind Vernichtungsbescheinigungen auszustellen, die von zwei Personen unterzeichnet werden, die der Vernichtung als Zeuge bewohnen.

16.

Verstöße gegen die Sicherheitsvorschriften

Wurde bei einer Verschlusssache der Geheimhaltungsgrade „CONFIDENTIEL UE“ oder „SECRET UE“ die Geheimschutzregelung verletzt oder besteht ein entsprechender Verdacht, so leitet die nationale Sicherheitsbehörde des Staates oder der Sicherheitsverantwortliche der Organisation eine Untersuchung der Umstände ein. Bestätigt sich dabei die Verletzung, ist die herausgebende Stelle zu benachrichtigen. Es werden die nötigen Maßnahmen getroffen, um bei ungeeigneten Verfahren oder Aufbewahrungsmethoden, die zu der Verletzung geführt haben, für Abhilfe zu sorgen. Der Generalsekretär/Hohe Vertreter des Rates oder die nationale Sicherheitsbehörde des Mitgliedstaats, die die betreffende Verschlusssache weitergegeben hat, kann den Empfänger um Übermittlung der ausführlichen Untersuchungsergebnisse ersuchen.