1.   Predmet i područje primjene ove Odluke navedeni su u članku 1. Odluke (EU, Euratom) 2017/46.

2.   Odredbe ove Odluke primjenjuju se na sve komunikacijske i informacijske sustave (CIS). Međutim, nadležnosti utvrđene u ovoj Odluci ne primjenjuju se na CIS-ove koji rukuju klasificiranim podacima EU-a. Odgovarajuće nadležnosti za te sustave određuje vlasnik sustava i sigurnosno tijelo Komisije u skladu s Odlukom Komisije (EU, Euratom) 2015/444 (3).

3.   Poglavlje 2. ove Odluke pregled je praktične provedbe organizacije i nadležnosti u pogledu sigurnosti informatičkih tehnologija. Poglavlje 3. ove Odluke pregled je postupaka povezanih s člankom 6. Odluke (EU, Euratom) 2017/46.

1.   Glavna uprava za ljudske resurse i sigurnost revidira Komisijinu politiku u području sigurnosti informatičkih tehnologija te povezanih standarda i smjernica kako bi se osiguralo da budu u skladu s Komisijinim općim politikama u području sigurnosti, osobito s Odlukom Komisije (EU, Euratom) 2015/443 (4) i Odlukom (EU, Euratom) 2015/444.

2.   Na zahtjev drugih Komisijinih službi Glavna uprava za ljudske resurse i sigurnost može, radi usklađivanja s Komisijinom politikom u području informacijske sigurnosti, revidirati svoje politike u području informatičkih tehnologija ili ostalu dokumentaciju povezanu sa sigurnošću informatičkih tehnologija. Načelnik predmetne Komisijine službe osigurava uklanjanje nedosljednosti.

3.   U okviru svoje nadležnosti za sigurnost podataka Glavna uprava za ljudske resurse i sigurnost surađuje s Glavnom upravom za informatiku kako bi se u postupcima za sigurnost informatičkih tehnologija u potpunosti u obzir uzeli klasifikacija i načela sigurnosti utvrđeni u Odluci (EU, Euratom) 2015/443, a posebno njezinim člancima 3. i 9.

1.   Upotreba tehnologija šifriranja za zaštitu klasificiranih podataka EU-a (EUCI) u skladu je s Odlukom (EU, Euratom) 2015/444.

2.   Odluke o upotrebi tehnologija šifriranja za zaštitu podataka koji nisu EUCI donosi vlasnik svakog CIS-a, uzimajući u obzir rizike koji se namjeravaju ublažiti s pomoću šifriranja i rizike koje se njime uvode.

3.   Za sve vrste upotrebe tehnologija šifriranja potrebno je prethodno odobrenje CAA-a, osim ako se šifriranje koristi samo za zaštitu povjerljivosti podataka u tranzitu koji nisu EUCI uz upotrebu standardnih komunikacijskih protokola mreže.

4.   Uz iznimke navedene u stavku 3. ovog članka Komisijine službe osiguravaju pohranjivanje sigurnosnih kopija svih ključeva za dešifriranje kod treće strane kako bi se, u slučaju da ključ za dešifriranje nije dostupan, do pohranjenih podataka moglo doći. Dohvat šifriranih podataka s pomoću sigurnosnih kopija ključeva za dešifriranje provodi se samo kada je odobren u skladu sa standardom koji je odredio CAA.

5.   Zahtjevi za odobrenje upotrebe tehnologija šifriranja službeno se dokumentiraju te sadržavaju pojedinosti o CIS-u i podacima koje treba zaštititi, tehnologijama koje će se upotrebljavati te povezanim sigurnosnim operativnim postupcima. Te zahtjeve za odobrenje potpisuje vlasnik sustava.

6.   Zahtjeve za odobrenje za upotrebu tehnologija šifriranja ocjenjuje CAA u skladu s objavljenim standardima i uvjetima.

1.   Glavna uprava za ljudske resurse i sigurnost provodi inspekcijske preglede sigurnosti informatičkih tehnologija kako bi se provjerilo jesu li mjere sigurnosti informatičkih tehnologija u skladu s Komisijinim politikama u području sigurnosti informatičkih tehnologija te kako bi se provjerila cjelovitost tih kontrolnih mjera.

2.   Glavna uprava za ljudske resurse i sigurnost može provoditi inspekcijske preglede sigurnosti informatičkih tehnologija:

(a)	na vlastitu inicijativu;

(b)	na zahtjev Upravljačkog odbora za informacijsku sigurnost (ISSB);

(c)	na zahtjev vlasnika sustava;

(d)	nakon incidenta povezanog sa sigurnošću; ili

(e)	nakon utvrđivanja visokog rizika na određenom sustavu.

3.   Vlasnici podataka mogu zatražiti inspekcijski pregled sigurnosti informatičkih tehnologija prije nego što pohrane svoje podatke na CIS.

4.   Rezultati inspekcijskog pregleda dokumentiraju se u izvješću vlasniku sustava čija se kopija šalje LISO-u (lokalni službenik za informacijsku sigurnost), a sadržava zaključke i preporuke za poboljšanje usklađenosti CIS-a s politikom sigurnosti informatičkih tehnologija. Glavna uprava za ljudske resurse i sigurnost izvješćuje ISSB o važnim problemima i preporukama.

5.   Glavna uprava za ljudske resurse i sigurnost prati provedbu tih preporuka.

6.   Prema potrebi, inspekcijski pregledi sigurnosti informatičkih tehnologija uključuju pregled usluga, prostora i opreme koje vlasniku sustava osiguravaju unutarnji ili vanjski pružatelji usluga.

1.   Glavna uprava za ljudske resurse i sigurnost utvrđuje pravila u okviru standarda za odobravanje pristupa između CIS-ova Komisije i vanjskih mreža.

2.   U okviru pravila razlikuju se vrste veza s vanjskom mrežom i utvrđuju odgovarajuća sigurnosna pravila za svaku vrstu veze te se određuje je li nužno prethodno odobrenje nadležnog tijela za tu vezu, kako je navedeno u stavku 4. ovog članka.

3.   Ako je potrebno, odobrenje se izdaje na temelju službenog zahtjeva i postupka odobrenja. Odobrenje ima određeno vremensko trajanje i dobavlja se prije aktivacije veze.

4.   Glavna uprava za ljudske resurse i sigurnost u potpunosti je nadležna za odobravanje zahtjeva, no nadležnost za odobravanje određenih vrsta priključaka može po vlastitom nahođenju delegirati u skladu s člankom 17. stavkom 3. Odluke (EU, Euratom) 2015/443, podložno uvjetima utvrđenima u stavku 8.

5.   Nadležna tijela mogu odrediti dodatne uvjete u pogledu sigurnosti kao preduvjet za odobrenje, kako bi Komisijine CIS-ove i mreže zaštitila od rizika neovlaštenog pristupa ili drugih povreda sigurnosti.

6.   Glavna uprava za informatiku standardni je pružatelj mrežnih usluga za Komisiju. Svaka druga Komisijina služba koja upravlja mrežom koja ne pripada Glavnoj upravi za informatiku prvo pribavlja suglasnost ISSB-a. Komisijina služba dužna je dokumentirati poslovnu opravdanost tog zahtjeva i dokazati da su mrežne kontrole dovoljne za ispunjenje uvjeta za kontrolu dolaznih i odlaznih informacija.

7.   Vlasnik CIS-a određuje sigurnosne zahtjeve za vanjski pristup CIS-u i osigurava provedbu odgovarajućih mjera za zaštitu njegove sigurnosti, uz podršku LISO-a.

8.   Sigurnosne mjere provedene za veze s vanjskom mrežom temelje se na načelu informiranosti samo o najnužnijemu i dobivanja najužih ovlasti, čime se osigurava da pojedinci dobiju samo one informacije i ostvare samo ono pravo pristupa koje im je potrebno za obavljanje službenih dužnosti za Komisiju.

9.   Sve veze s vanjskom mrežom filtriraju se i prate kako bi se otkrile moguće povrede sigurnosti.

10.   Kada su veze uspostavljene kako bi se omogućila eksternalizacija CIS-a, odobrenje ovisi o uspješnom dovršetku postupka opisanog u članku 8.

1.   Za potrebe ove Odluke CIS se smatra eksternaliziranim kada je uspostavljen na temelju ugovora s trećim izvođačem, na temelju kojeg je CIS smješten izvan Komisijinih prostora. To uključuje eksternalizaciju pojedinačnih ili višestrukih CIS-ova ili drugih usluga u području informatičkih tehnologija, podatkovne centre izvan Komisijinih prostora i vanjske usluge rukovanja Komisijinim skupovima podataka.

2.   Pri eksternalizaciji CIS-a na sljedeći se način u obzir uzima osjetljivost ili klasifikacija podataka kojima se rukuje:

(a)	CIS koji omogućuje rukovanje klasificiranim podacima EU-a akreditiran je u skladu s Odlukom (EU, Euratom) 2015/444, a od Komisijina tijela za sigurnosnu akreditaciju (SAA) traži se prethodno mišljenje. Sustavi koji omogućuju rukovanje EUCI-jem ne eksternaliziraju se.

(b)

Vlasnik CIS-a koji omogućuje rukovanje podacima koji nisu EUCI provodi odgovarajuće mjere za ispunjavanje sigurnosnih potreba u skladu s relevantnim pravnim obvezama ili osjetljivošću podataka, uzimajući u obzir rizike povezane s eksternalizacijom. Glavna uprava za ljudske resurse i sigurnost može odrediti dodatne uvjete.

(c)	Pri eksternalizaciji razvojnih projekata u obzir se uzimaju osjetljivost razvijenog koda i svi testni podaci korišteni tijekom njegova razvijanja.

3.   Sljedeća se načela primjenjuju na eksternalizirane CIS-ove, uz one iz članka 3. Odluke (EU, Euratom) 2017/46:

(a)	sporazumi o eksternalizaciji sastavljaju se tako da se izbjegne ovisnost o određenim dobavljačima;

(b)	sporazumima o sigurnosti u pogledu eksternalizacije smanjuje se mogućnost da osoblje treće strane pristupi informacijama Komisije ili ih promijeni;

(c)	osoblje treće strane koje ima pristup eksternaliziranim CIS-ovima sklapa ugovore o povjerljivosti;

(d)	eksternalizacija CIS-a navodi se u evidenciji CIS-ova.

4.   Vlasnik sustava uz sudjelovanje vlasnika podataka dužan je:

(a)	procijeniti i dokumentirati rizike povezane s eksternalizacijom;

(b)	utvrditi odgovarajuće uvjete u pogledu sigurnosti;

(c)	savjetovati se s vlasnicima svih drugih povezanih CIS-ova kako bi se osiguralo uključivanje njihovih sigurnosnih uvjeta;

(d)	navesti odgovarajuće sigurnosne uvjete i prava u ugovoru o eksternalizaciji;

(e)	ispuniti sve ostale uvjete utvrđene u detaljnom postupku, kako je navedeno u stavku 8. ovog članka.

Te se radnje obavljaju prije sklapanja ugovora ili drugih sporazuma o eksternalizaciji jednog CIS-a ili više njih.

5.   Vlasnici sustava upravljaju rizicima povezanima s eksternalizacijom tijekom trajanja CIS-a radi ispunjenja utvrđenih sigurnosnih uvjeta.

6.   Vlasnici sustava dužni su treće izvođače obvezati na hitno obavještavanje Komisije o svim incidentima u području sigurnosti informatičkih tehnologija koji zahvaćaju eksternalizirane CIS-ove Komisije.

7.   Vlasnik sustava nadležan je za osiguravanje usklađenosti CIS-a, ugovora o eksternalizaciji i sporazuma o sigurnosti s pravilima Komisije o sigurnosti informacija i sigurnosti informatičkih tehnologija.

8.   Glavna uprava za ljudske resurse i sigurnost utvrđuje detaljne standarde povezane s nadležnostima i aktivnostima navedenima u stavcima od 1. do 7. u skladu s člankom 10. u nastavku.

1.   Odredbe ove Odluke, prema potrebi, detaljnije su opisane u standardima i/ili smjernicama koje je potrebno donijeti u skladu s Odlukom (EU, Euratom) 2017/46 i Odlukom C(2017)7428. Standardi sigurnosti informacijskih tehnologija i smjernice sadržavaju dodatne pojedinosti o tim provedbenim pravilima, a Odluka (EU, Euratom) 2017/46 o posebnim područjima sigurnosti u skladu s normom ISO 27001:2013, Prilog A. Ti standardi i smjernice temelje se na najboljim praksama industrije i biraju se tako da odgovaraju Komisijinu okruženju informatičkih tehnologija.

2.   Standardi su, prema potrebi, razvijani u skladu sa standardom ISO 27001:2013 Prilog A u sljedećim područjima:

(1)	organizacija informacijske sigurnosti;

(2)	sigurnost ljudskih potencijala;

(3)	upravljanje imovinom;

(4)	kontrola pristupa;

(5)	kriptografija;

(6)	fizička sigurnost i sigurnost okruženja;

(7)	operativna sigurnost;

(8)	sigurnost komunikacija;

(9)	nabava, razvoj i održavanje sustava;

(10)	odnosi s dobavljačima;

(11)	rješavanje incidenata povezanih sa sigurnošću informacija;

(12)	aspekti informacijske sigurnosti u području upravljanja kontinuitetom poslovanja;

(13)	usklađivanje.

3.   ISSB odobrava standarde navedene u stavcima 1. i 2. ovog članka prije njihova donošenja.

4.   Provedbena pravila iz Odluke C(2006) 3602 koja se odnose na područje primjene ove Odluke ovime se stavljaju izvan snage.

5.   Standardi i smjernice doneseni u skladu s Odlukom C(2006) 3602 od 16. kolovoza 2006. ostaju na snazi ako nisu u suprotnosti s ovim provedbenim pravilima, sve dok ih se ne stavi izvan snage ili zamijeni standardima ili smjernicama koje je potrebno donijeti u skladu s člankom 13. Odluke (EU, Euratom) 2017/46.