1.   I denne afgørelse fastsættes betingelserne for at håndtere EU-klassificerede informationer (EUCI) med klassifikationsgraden CONFIDENTIEL UE/EU CONFIDENTIAL (3) og SECRET UE/EU SECRET (4) i overensstemmelse med Revisionsrettens afgørelse nr. 41/2021.

2.   Denne afgørelse finder anvendelse på alle Revisionsrettens tjenester og lokaliteter. Den finder også anvendelse på Revisionsrettens afdelinger og udvalg, som i forbindelse med denne afgørelse er omfattet af begrebet »tjenester«.

1.   Der kan gives adgang til informationer, der er klassificeret CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET, efter at:

a)	det er konstateret, at en person har behov for at have adgang til visse CONFIDENTIEL UE/EU CONFIDENTIAL- eller SECRET UE/EU SECRET-informationer for at kunne udføre en arbejdsfunktion eller arbejdsopgave for Revisionsretten

b)	personen er blevet orienteret om reglerne og de relevante sikkerhedsstandarder samt retningslinjerne for beskyttelse af CONFIDENTIEL UE/EU CONFIDENTIAL- og SECRET UE/EU SECRET-informationer

c)	personen skriftligt har anerkendt sit ansvar for at beskytte de pågældende informationer, og

d)	personen er blevet sikkerhedsgodkendt og af Revisionsrettens direktør for menneskelige ressourcer, finanser og generelle tjenester er blevet autoriseret op til den relevante grad og frem til en angiven dato, jf. artikel 4, stk. 4, i afgørelse nr. 41/2021.

2.   Revisionsrettens praktikanter må ikke pålægges opgaver, der forudsætter, at de har adgang til CONFIDENTIEL UE/EU CONFIDENTIAL- eller SECRET UE/EU SECRET-informationer.

3.   Adgang tilbageholdes eller tillades for andre kategorier af ansatte i overensstemmelse med tabellen i bilaget.

1.   Et dokument klassificeres som minimum CONFIDENTIEL UE/EU CONFIDENTIAL, hvis dets uautoriserede videregivelse bl.a.:

a)	vil kunne påføre de diplomatiske forbindelser materiel skade, dvs. medføre formelle protester eller andre sanktioner

b)	vil kunne anfægte den enkeltes sikkerhed eller frihed

c)	vil kunne skade medlemsstaternes eller andre bidragyderes udsendte personales operationelle effektivitet eller sikkerhed eller værdifulde sikkerheds- eller efterretningsoperationers effektivitet

d)	i væsentlig grad vil kunne undergrave større organisationers levedygtighed

e)	vil kunne skade efterforskningen af eller fremme alvorlig kriminalitet

f)	i væsentlig grad vil kunne modarbejde Unionens eller medlemsstaternes finansielle, monetære, økonomiske og kommercielle interesser

g)	i alvorlig grad vil kunne stå i vejen for udviklingen eller gennemførelsen af Unionens vigtigste politikker

h)	vil kunne nedlukke Unionens aktiviteter eller på anden måde i væsentlig grad forstyrre disse

i)	vil kunne føre til, at informationer i en højere klassifikationsgrad afsløres.

2.   Informationer klassificeres som minimum SECRET UE/EU SECRET, hvis deres uautoriserede videregivelse bl.a.:

a)	vil kunne skabe internationale spændinger

b)	i alvorlig grad vil kunne skade forbindelserne med tredjelande eller internationale organisationer

c)	vil kunne være direkte livstruende eller i alvorlig grad kunne skade den offentlige orden eller anfægte den enkeltes sikkerhed eller frihed

d)	i alvorlig grad vil kunne skade medlemsstaternes eller andre bidragyderes udsendte personales operationelle effektivitet eller sikkerhed eller meget værdifulde sikkerheds- eller efterretningsoperationers fortsatte effektivitet

e)	i væsentlig grad vil kunne skade Unionens eller medlemsstaternes finansielle, monetære, økonomiske og kommercielle interesser

f)	vil kunne føre til, at informationer i en højere klassifikationsgrad afsløres.

3.   Udstedere kan beslutte at tildele en standardklassifikationsgrad til de kategorier af informationer, som de udarbejder regelmæssigt. De skal dog sikre, at de enkelte informationer gives den rette klassifikationsgrad.

1.   Informationer skal klassificeres, så snart de produceres. Personlige noter, foreløbige udkast eller beskeder, der indeholder informationer, som berettiger klassifikationsgraden CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET, skal mærkes som sådanne fra starten og udarbejdes og håndteres i overensstemmelse med denne afgørelse.

2.   Hvis det endelige dokument ikke længere berettiger den oprindelige klassifikationsgrad, skal det nedklassificeres eller afklassificeres, efter at udstederen af dokumentet har bekræftet, at det er sikkert at gøre dette.

1.   Et dokuments samlede klassifikationsgrad skal mindst være den samme som den del, der har den højeste klassifikationsgrad, jf. punkt 12 i Revisionsrettens politik for klassificering af oplysninger. Hvis informationerne er indsamlet fra forskellige kilder, skal det endelige samlede dokument tages op til revision for at fastlægge dets samlede klassifikationsgrad, da det kan berettige til en højere klassifikationsgrad end de enkelte deles klassifikationsgrad.

2.   Dokumenter, der indeholder klassificerede og ikkeklassificerede dele, struktureres og mærkes, så dele med forskellige klassifikationsgrader og/eller følsomhedsgrader let kan identificeres og udskilles, hvis det er nødvendigt. Dette skal gøre det muligt at håndtere de enkelte dele korrekt, hvis de adskilles fra de øvrige dele.

1.   Informationer, som berettiger klassifikation, skal mærkes og håndteres som sådanne uanset deres fysiske form. Klassifikationsgraden meddeles modtagerne tydeligt enten ved en klassifikationsmærkning, såfremt informationerne meddeles skriftligt, hvad enten det er på papir, et transportabelt lagringsmedie eller i et kommunikations- og informationssystem (CIS), eller ved at der gives oplysning om den, såfremt informationerne meddeles mundtligt (f.eks. i forbindelse med en samtale eller præsentation). Klassificeret materiale mærkes fysisk, således at sikkerhedsklassifikationen let kan identificeres.

2.   På dokumenter skrives den fulde klassifikationsmærkning CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET på fransk og engelsk (fransk først) med blokbogstaver, jf. stk. 3. Mærkningen oversættes ikke til andre sprog.

3.   Klassifikationsmærkningen CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET anbringes som følger:

a)	centreret på top og bund af hver side i dokumentet

b)	den fulde klassifikationsmærkning på en linje uden mellemrum på hver side af skråstregen

c)	med blokbogstaver, sort, skrifttype Times New Roman 16 (hvis det er muligt, men mindst 14), fed og omgivet af en kant på hver side.

4.   Når der udarbejdes et CONFIDENTIEL UE/EU CONFIDENTIAL- eller SECRET UE/EU SECRET-dokument:

a)	skal hver side være tydeligt mærket med klassifikationsgraden

b)	skal hver side nummereres

c)	skal dokumentet være forsynet med et referencenummer, et registreringsnummer og et emne, der ikke i sig selv er en klassificeret information, medmindre det er mærket som sådan

d)	skal alle bilag så vidt muligt være angivet på første side og

e)	skal dokumentet være forsynet med datoen for udarbejdelsen.

5.   Hvis det er muligt, angives SECRET UE/EU SECRET-mærkningen med rødt.

1.   CONFIDENTIEL UE/EU CONFIDENTIAL- og SECRET UE/EU SECRET-dokumenter kan have andre mærkninger eller »sikkerhedsangivelser«, der f.eks. præciserer, hvilket område dokumentet vedrører, eller angiver en særlig distribution på need to know-basis. Følgende er et eksempel:

RELEASABLE TO LIECHTENSTEIN

2.   CONFIDENTIEL UE/EU CONFIDENTIAL- og SECRET UE/EU SECRET-dokumenter kan have en sikkerhedspåtegning, der giver specifikke instruktioner om, hvordan dokumenterne skal håndteres og forvaltes.

Hvis det er muligt, angives eventuelle betingelser for at afklassificere dokumentet på første side på det tidspunkt, hvor det udarbejdes. Følgende mærkning kan f.eks. benyttes:

SECRET UE/EU SECRET until [dd.mm.yyyy] and RESTREINT UE/EU RESTRICTED thereafter

1.   CONFIDENTIEL UE/EU CONFIDENTIAL- og SECRET UE/EU SECRET-dokumenter udarbejdes ved hjælp af elektroniske midler, hvis sådanne er til rådighed.

2.   Når der udarbejdes CONFIDENTIEL UE/EU CONFIDENTIAL- eller SECRET UE/EU SECRET-informationer, anvender Revisionsrettens ansatte et CIS, der mindst er akkrediteret til den tilsvarende klassifikationsgrad. I tvivlstilfælde konsulteres Revisionsrettens informationssikkerhedsansvarlige.

3.   CONFIDENTIEL UE/EU CONFIDENTIAL- og SECRET UE/EU SECRET-dokumenter, herunder udkast (jf. artikel 5), må ikke sendes med e-mail, trykkes eller scannes på standardprintere eller standardscannere eller håndteres på de ansattes personlige udstyr. Kun printere og fotokopieringsmaskiner, der er forbundet til uafhængige computere, som er beskyttet mod elektromagnetiske emissioner, eller til et akkrediteret system, må anvendes til at trykke CONFIDENTIEL UE/EU CONFIDENTIAL- eller SECRET UE/EU SECRET-dokumenter.

1.   Informationer, der er klassificeret CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET, registreres af hensyn til sikkerheden forud for distributionen og ved modtagelsen. De registreres:

—	når de ankommer til eller forlader det sikrede område hos Kommissionen i Luxembourg, som Revisionsretten har undertegnet et aftalememorandum om brug af, og

—	når de overføres til eller forlader et CIS.

2.   Registreringen kan foretages på papir eller i elektroniske logbøger.

3.   Hvis informationerne håndteres elektronisk i et CIS, kan registreringen gennemføres ved processer i selve CIS'et. I så fald skal CIS'et omfatte foranstaltninger, der sikrer registreringernes integritet.

4.   Den arkivansvarlige fører et register, der som minimum indeholder følgende oplysninger for hvert dokument:

a)	datoen for det endelige klassificerede dokuments registrering

b)	klassifikationsgraden

c)	hvis det er relevant, datoen for klassifikationsgradens ophør

d)	navnet på den udstedende tjeneste

e)	modtageren eller modtagerne

f)

emnet

g)	den udstedende tjenestes referencenummer for dokumentet

h)	registreringsnummeret

i)	antallet af videregivne eksemplarer

j)	hvis det er muligt, fortegnelsen over de kilder, der er anvendt til udarbejdelsen af dokumentet

k)	datoen for, hvornår dokumentet nedklassificeres eller afklassificeres, og

l)	nærmere oplysninger om destruktion (sted, dato, metode, tilsyn og destruktionsattest).

1.   Udsteder har »udstederkontrol« over de CONFIDENTIEL UE/EU CONFIDENTIAL- og SECRET UE/EU SECRET-informationer, udstederen har udarbejdet. Der skal forudgående indhentes skriftligt samtykke fra udsteder, før informationerne kan:

a)	afklassificeres eller nedklassificeres

b)	anvendes til andre formål end dem, der er fastsat af udstederen

c)	videregives til et tredjeland eller en international organisation, eller

d)	videregives til en part uden for Revisionsretten, men inden for EU.

2.   Den, der er i besiddelse af CONFIDENTIEL UE/EU CONFIDENTIAL- og SECRET UE/EU SECRET-informationer, er en behørigt autoriseret person, der har fået adgang til de klassificerede informationer for at kunne udføre sine opgaver. Vedkommende er ansvarlig for den korrekte håndtering, lagring og beskyttelse af disse informationer i overensstemmelse med afgørelse nr. 41/2021. I modsætning til udstedere af klassificerede informationer er den, der er i besiddelse af dem, ikke bemyndiget til at beslutte, om CONFIDENTIEL UE/EU CONFIDENTIAL- eller SECRET UE/EU SECRET-informationer kan nedklassificeres, afklassificeres eller videregives.

3.   Hvis udstederen af CONFIDENTIEL UE/EU CONFIDENTIAL- eller SECRET UE/EU SECRET-informationer ikke kan identificeres, skal den tjeneste i Revisionsretten, som er i besiddelse af de klassificerede informationer, udøve udstederkontrol. Hvis den, der er i besiddelse af informationerne, anser det for nødvendigt at videregive CONFIDENTIEL UE/EU CONFIDENTIAL- eller SECRET UE/EU SECRET-informationer til et tredjeland eller en international organisation, søger Revisionsretten vejledning hos en af parterne i en informationssikkerhedsaftale med samme tredjeland eller internationale organisation (5).

1.   Brugen af mobile lagringsmedier såsom USB-nøgler, CD'er, DVD'er eller hukommelseskort (herunder SSD'er (6)) skal kontrolleres strengt, og der skal kunne gøres rede for den. Kun mobile lagringsmedier, som er udleveret af Revisionsretten eller af en anden EU-institution, et EU-organ eller et EU-agentur og godkendt af den informationssikkerhedsansvarlige, og som er krypteret af et produkt godkendt af den informationssikkerhedsansvarlige, må anvendes. Personlige mobile lagringsmedier og medier, der udleveres gratis på konferencer, seminarer osv., må ikke benyttes til at videregive klassificerede informationer. I overensstemmelse med den informationssikkerhedsansvarliges vejledning benyttes TEMPEST-sikrede mobile lagringsmedier, hvis det er muligt.

2.   Hvis et klassificeret dokument håndteres eller lagres elektronisk på et mobilt lagringsmedie, skal klassifikationsmærkningen være tydeligt angivet som del af selve informationerne, i filnavnet og på det mobile lagringsmedie.

3.   Ansatte skal huske, at hvis mange klassificerede informationer lagres på mobile lagringsmedier, kan det være berettiget at give udstyret en højere klassifikationsgrad.

4.   Kun CIS, der er behørigt akkrediteret, må anvendes til at overføre CONFIDENTIEL UE/EU CONFIDENTIAL- eller SECRET UE/EU SECRET-informationer til eller fra mobile lagringsmedier.

5.   Når sådanne informationer downloades til mobile lagringsmedier, sikres det særlig omhyggeligt, at medierne ikke indeholder vira eller malware.

6.   Mobile lagringsmedier håndteres, hvor det er relevant, i overensstemmelse med de operationelle sikkerhedsprocedurer vedrørende det anvendte krypteringssystem.

7.   Dokumenter, der er lagret på mobile lagringsmedier, og som ikke længere er nødvendige eller er blevet overført til et passende CIS, skal fjernes eller slettes sikkert ved hjælp af godkendte produkter eller metoder. Medmindre de mobile lagringsmedier opbevares i et passende pengeskab, skal de destrueres, når de ikke længere skal bruges. Enhver destruktion eller sletning skal foretages i overensstemmelse med Revisionsrettens sikkerhedsregler. Der føres en opgørelse over alle mobile lagringsmedier, og deres destruktion registreres.

1.   I henhold til artikel 5, stk. 5 og 6, i afgørelse nr. 41/2021 skal CONFIDENTIEL UE/EU CONFIDENTIAL- og SECRET UE/EU SECRET-informationer håndteres i et sikret område (7). Ansatte i Revisionsretten kan også håndtere sådanne informationer i en anden EU-institutions sikrede område.

2.   Ifølge artikel 5, stk. 6, i afgørelse nr. 41/2021 kan informationerne med udstederens specifikke samtykke håndteres i Revisionsrettens administrative område (8), forudsat at EUCI er beskyttet mod uautoriserede personers adgang.

3.   I krise- eller nødsituationer kan informationerne håndteres uden for et sikret eller administrativt område, forudsat at den person, der er i besiddelse af informationerne, har lovet at overholde kompensationsforanstaltningerne, der som minimum omfatter følgende:

—	CONFIDENTIEL UE/EU CONFIDENTIAL- og SECRET UE/EU SECRET-dokumenter må ikke læses på offentlige steder.

—	Den, der er i besiddelse af EUCI, skal til enhver tid have personlig kontrol over dem.

—	Hvis dokumenterne foreligger i papirform, har den, der er i besiddelse af dem, så hurtigt som muligt og afhængigt af krise- eller nødsituationens karakter underrettet EUCI-arkivet om, at de klassificerede dokumenter håndteres uden for et sikret eller administrativt område.

—	Dokumenterne skal opbevares i et passende aflåst pengeskab, når de ikke læses eller drøftes.

—	Dørene til lokalet skal være lukkede, når dokumenterne læses eller drøftes.

—	De nærmere oplysninger i dokumenterne må ikke drøftes via en ubeskyttet telefonforbindelse eller pr. e-mail.

—	Dokumenterne må ikke fotokopieres eller scannes af den, der er i besiddelse af dem. Kun EUCI-arkivet må tilvejebringe yderligere eksemplarer.

—	Dokumenterne må kun håndteres og opbevares midlertidigt uden for et administrativt eller sikret område i det tidsrum, der er absolut nødvendigt, hvorpå de skal returneres til EUCI-arkivet.

—	Der skrives under på, at dokumenterne er returneret.

—	Den, der er i besiddelse af de klassificerede dokumenter, må ikke smide dem væk eller destruere dem.

4.   CONFIDENTIEL UE/EU CONFIDENTIAL- og SECRET UE/EU SECRET-informationer skal opbevares i et sikret område i en sikkerhedscontainer eller et bokslokale.

5.   Yderligere vejledning kan fås hos den informationssikkerhedsansvarlige.

6.   Enhver mistanke om eller faktisk sikkerhedshændelse, der involverer et dokument, indberettes til den informationssikkerhedsansvarlige hurtigst muligt.

1.   CONFIDENTIEL UE/EU CONFIDENTIAL- og SECRET UE/EU SECRET-informationer kan kopieres eller oversættes efter instruks fra den, der er i besiddelse af informationerne, forudsat at udstederen har givet specifikt samtykke og ikke har stillet særlige betingelser herfor. Der må dog ikke laves flere kopier, end hvad der er strengt nødvendigt. Revisionsretten kan også anmode udstederen om at levere en kopi oversat til engelsk.

2.   Hvis kun dele af et klassificeret dokument gengives, gælder samme betingelser som ved kopiering af hele dokumentet. Uddrag skal klassificeres i samme grad, medmindre udstederen specifikt har klassificeret dem i en lavere grad eller mærket dem som uklassificerede.

3.   De sikkerhedsforanstaltninger, der gælder for de oprindelige informationer, gælder også for kopier og oversættelser heraf.

1.   CONFIDENTIEL UE/EU CONFIDENTIAL- og SECRET UE/EU SECRET-informationer, som skal bruges uden for sikrede eller administrative områder, jf. artikel 17, stk. 2, sendes så vidt muligt elektronisk ved hjælp af behørigt akkrediterede midler og/eller beskyttet af godkendte kryptoprodukter.

2.   Afhængigt af hvilke midler der er til rådighed og af de særlige omstændigheder, kan CONFIDENTIEL UE/EU CONFIDENTIAL- og SECRET UE/EU SECRET-informationer håndbæres i form af papirdokumenter eller på mobile lagringsmedier. Brugen af mobile lagringsmedier til overførsel af CONFIDENTIEL UE/EU CONFIDENTIAL- og SECRET UE/EU SECRET-informationer skal foretrækkes frem for at sende papirdokumenter.

3.   I henhold til artikel 6, stk. 8, i afgørelse nr. 41/2021 skal mobile lagringsmedier være krypteret ved hjælp af et produkt, der af Rådet, af generalsekretæren for Rådet som kryptogodkendelsesmyndighed eller af en anden EU-institution, et EU-agentur eller et EU-organ er godkendt til beskyttelse af EUCI. CONFIDENTIEL UE/EU CONFIDENTIAL- og SECRET UE/EU SECRET-informationer på mobile lagringsmedier, der ikke er beskyttede ved hjælp af et således godkendt krypteringsprodukt, håndteres på samme måde som informationer i form af papirdokumenter.

4.   Forsendelser kan indeholde mere end én pakke EUCI, forudsat at need to know-princippet overholdes.

5.   Den emballage, der anvendes, skal sikre, at indholdet ikke kan ses. CONFIDENTIEL UE/EU CONFIDENTIAL- og SECRET UE/EU SECRET-informationer transporteres i to lag uigennemsigtig emballage, såsom kuverter, uigennemsigtige mapper eller en dokumentmappe. Den yderste emballage skal være forseglet og må ikke bære nogen angivelse af, hvilket indhold eller hvilken klassifikationsgrad der er tale om. Den inderste emballage skal være mærket som CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET. Af begge lag skal fremgå den tiltænkte modtagers navn, stillingsbetegnelse og adresse samt en returadresse, i tilfælde af at leveringen ikke kan foretages.

6.   Ansatte eller kurerer, der håndbærer CONFIDENTIEL UE/EU CONFIDENTIAL- eller SECRET UE/EU SECRET-informationer, skal være sikkerhedsautoriserede og være i besiddelse af et kurercertifikat.

7.   Kuverter og emballage må ikke åbnes undervejs. Kurerens sikkerhedsautorisation giver ikke vedkommende ret til at få adgang til de klassificerede oplysninger i forsendelsen.

8.   I henhold til artikel 5, stk. 2, i afgørelse nr. 41/2021 kan udstederen foreskrive yderligere fysiske sikkerhedsforanstaltninger for at beskytte informationerne mod uautoriseret videregivelse under transporten.

9.   Enhver mistanke om eller faktisk sikkerhedshændelse, der involverer CONFIDENTIEL UE/EU CONFIDENTIAL- eller SECRET UE/EU SECRET-informationer, som transporteres af ansatte eller kurerer, indberettes til den informationssikkerhedsansvarlige hurtigst muligt med henblik på efterfølgende undersøgelse.

1.   Mobile lagringsmedier, der anvendes til transport af CONFIDENTIEL UE/EU CONFIDENTIAL- og SECRET UE/EU SECRET-informationer, ledsages af en følgeseddel med nærmere oplysning om de mobile lagringsmedier og alle de filer, de indeholder, således at modtageren kan foretage den fornødne kontrol og bekræfte modtagelsen.

2.   Kun de EUCI, der transporteres, må lagres på medierne. Alle de klassificerede informationer, der findes på en bestemt enhed, skal være til den samme modtager. Afsendere skal være opmærksomme på, at hvis mange klassificerede informationer lagres på samme enhed, kan det være berettiget at give enheden en højere klassifikationsgrad.

3.   Kun mobile lagringsmedier med den rette klassifikationsmærkning må benyttes til at transportere CONFIDENTIEL UE/EU CONFIDENTIAL- og SECRET UE/EU SECRET-informationer.

4.   Alle CONFIDENTIEL UE/EU CONFIDENTIAL- eller SECRET UE/EU SECRET-informationer, der er gemt på mobile lagringsmedier, skal registreres af hensyn til sikkerheden.

1.   Sikkerhedsautoriserede ansatte må gerne transportere CONFIDENTIEL UE/EU CONFIDENTIAL- og SECRET UE/EU SECRET-dokumenter inden for tjenester og i Revisionsrettens bygninger, men dokumenterne må ikke forlade bæreren eller læses offentligt.

2.   CONFIDENTIEL UE/EU CONFIDENTIAL- og SECRET UE/EU SECRET-dokumenter må ikke sendes med intern post.

1.   CONFIDENTIEL UE/EU CONFIDENTIAL- og SECRET UE/EU SECRET-informationer må af ansatte i eller kurerer for Revisionsretten eller den udstedende EU-institution, det udstedende EU-organ eller det udstedende EU-agentur transporteres overalt i Unionen, forudsat at følgende instruktioner overholdes:

a)

Der anvendes uigennemsigtige dobbelte kuverter eller dobbelt emballage til at transportere CONFIDENTIEL UE/EU CONFIDENTIAL- og SECRET UE/EU SECRET-informationer. Den yderste emballage skal være forseglet og må ikke bære nogen angivelse af, hvilket indhold eller hvilken klassifikationsgrad der er tale om.

b)	CONFIDENTIEL UE/EU CONFIDENTIAL- eller SECRET UE/EU SECRET-informationerne må ikke forlade bæreren.

c)	Kuverten eller emballagen må ikke åbnes undervejs, og informationerne må ikke læses på offentlige steder.

2.   Arkivansatte, der ønsker at sende CONFIDENTIEL UE/EU CONFIDENTIAL-informationer til andre steder i Unionen, kan foranledige, at de transporteres på en af følgende måder:

a)	med nationale posttjenester, der sporer forsendelsen, eller med kommercielle kurertjenester, der sikrer personlig håndbåren transport, forudsat at de opfylder kravene i artikel 24 i denne afgørelse

b)	med militær, officiel eller diplomatisk kurer i samråd med personalet i registerkontoret.

3.   Ansatte, der ønsker at sende SECRET UE/EU SECRET-informationer til andre medlemsstater i EU, kan foranledige med den arkivansvarlige, at de transporteres med militær, officiel eller diplomatisk kurer, men ikke med posttjenester eller kommercielle kurerer.

4.   Alle ansatte i Revisionsretten eller officielle kurerer, der transporterer CONFIDENTIEL UE/EU CONFIDENTIAL- eller SECRET UE/EU SECRET-informationer, skal have et kurercertifikat for hver forsendelse. Certifikatet udstedes af den arkivansvarlige og certificerer, at bæreren er autoriseret til at transportere forsendelsen.

1.   Informationer, der er klassificeret CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET, må af ansatte i Revisionsretten eller i den udstedende EU-institution, det udstedende EU-organ eller det udstedende EU-agentur håndbæres mellem Unionens område og et tredjelands område.

2.   Arkivansatte kan foranledige transport med militær eller diplomatisk kurer.

3.   Når ansatte håndbærer papirdokumenter eller mobile lagringsmedier, der er klassificeret CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET, skal de overholde alle følgende yderligere foranstaltninger:

—	Når klassificerede informationer transporteres ved hjælp af offentlig transport, placeres de i en dokumentmappe eller taske, der er i bærerens personlige varetægt. Denne må ikke indskrives som bagage.

—	Den inderste emballage forsynes med et officielt stempel, der angiver, at der er tale om en officiel forsendelse, som ikke må underkastes sikkerhedskontrol.

—	Bæreren skal være i besiddelse af et kurercertifikat udstedt af den arkivansvarlige, som bekræfter, at bæreren er autoriseret til at transportere CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET-forsendelsen.

1.   I forbindelse med denne afgørelse omfatter »kommercielle kurertjenester« nationale posttjenester og kommercielle kurertjenester, som tilbyder en tjeneste, hvor informationerne leveres mod gebyr og transporteres enten håndbåret eller med sporing.

2.   Kommercielle kurerer må transportere CONFIDENTIEL UE/EU CONFIDENTIAL-informationer inden for en EU-medlemsstat eller fra én medlemsstat til en anden. Kommercielle kurerer må kun transportere SECRET UE/EU SECRET-informationer inden for en medlemsstat, ikke til udlandet.

3.   Kommercielle kurertjenester skal informeres om, at de kun må levere CONFIDENTIEL UE/EU CONFIDENTIAL- eller SECRET UE/EU SECRET-forsendelser til den arkivansvarlige eller vedkommendes behørigt autoriserede stedfortræder eller den påtænkte modtager.

4.   Kommercielle kurertjenester kan benytte sig af en underleverandør. Ansvaret for at overholde denne afgørelse påhviler dog fortsat kurertjenesten.

1.   Når klassificerede forsendelser forberedes, skal afsenderen være opmærksom på, at kommercielle kurertjenester kun må levere CONFIDENTIEL UE/EU CONFIDENTIAL- eller SECRET UE/EU SECRET-forsendelser til den arkivansvarlige eller vedkommendes behørigt autoriserede stedfortræder eller den påtænkte modtager.

2.   Når sådanne forsendelser sendes med en godkendt kommerciel kurertjeneste, skal de forberedes og emballeres som følger:

a)	Informationerne placeres i uigennemsigtige dobbelte kuverter (den inderste skal være af en sådan art, at ethvert forsøg på at åbne den vil være tydeligt) eller andet tilstrækkeligt sikkert emballeringsmateriale.

b)	Klassifikationsgraden skal være klart angivet på den inderste kuvert eller den inderste emballage.

c)	Den yderste emballage skal være forseglet og må ikke bære nogen klassifikationsmærkning.

d)	Både den inderste og den yderste kuvert eller emballage skal være tydeligt adresseret til en navngiven person hos den tiltænkte modtager og skal være forsynet med en returadresse.

e)

Der skal placeres en formular til kvittering for registrering i den inderste kuvert eller den inderste emballage, som modtageren udfylder og returnerer. Kvitteringen for registrering, som ikke i sig selv klassificeres, skal være forsynet med dokumentets referencenummer, datoen og eksemplarnummer, men må ikke angive emnet.

f)	Den yderste kuvert eller emballage skal indeholde en kvittering for levering. Kvitteringen for levering, som ikke i sig selv klassificeres, skal være forsynet med dokumentets referencenummer, datoen og eksemplarnummer, men må ikke angive emnet.

g)	Kurertjenesten skal sikre sig, at der på en særlig blanket kvitteres for aflevering, og at denne overdrages til afsenderen som bevis for forsendelsens levering, alternativt skal kureren sørge for at få kvitteringer eller pakkenumre.

3.   Før en forsendelse afsendes, aftaler afsenderen dato og tidspunkt for leveringen med den navngivne modtager.

4.   Afsenderen bærer alene ansvaret for enhver forsendelse, der er sendt med kommerciel kurertjeneste. Hvis en forsendelse går tabt eller ikke leveres rettidigt, indberetter afsenderen det til den informationssikkerhedsansvarlige og den arkivansvarlige, som følger op på sikkerhedshændelsen.

1.   Alle yderligere transportbetingelser, der er fastsat i en informationssikkerhedsaftale eller i administrative ordninger, skal overholdes. Hvis ansatte er i tvivl, forhører de sig hos den informationssikkerhedsansvarlige eller den arkivansvarlige.

2.   Kravet om dobbelt emballage kan fraviges for klassificerede informationer, hvis de er beskyttet af godkendte kryptoprodukter. Af hensyn til adresseringsformål og i betragtning af, at mobile lagringsmedier er påført en tydelig sikkerhedsklassifikationsmærkning, skal medier dog som minimum transporteres i en forseglet uigennemsigtig kuvert, om nødvendigt med yderligere fysiske beskyttelsesforanstaltninger, f.eks. en boblekuvert.

1.   Møder, hvor der skal drøftes CONFIDENTIEL UE/EU CONFIDENTIAL- eller SECRET UE/EU SECRET-informationer, må kun holdes i et mødelokale, der er akkrediteret til den relevante grad eller højere. Revisionsretten kan også bruge et mødelokale i en anden EU-institutions sikrede område. Hvis et sådant ikke er til rådighed, skal ansatte søge vejledning hos den informationssikkerhedsansvarlige.

2.   Generelt bør mødedagsordener ikke være klassificerede. Hvis der i dagsordenen til et møde omtales klassificerede dokumenter, skal selve dagsordenen ikke automatisk klassificeres. Punkter på en dagsorden bør formuleres på en måde, der ikke bringer Unionens eller medlemsstaternes interesser i fare.

3.   Mødearrangøren gør deltagerne opmærksomme på, at eventuelle bemærkninger, som indsendes om et dagsordenpunkt, der er klassificeret CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET, ikke må sendes via e-mail eller andre midler, der ikke er behørigt akkrediteret i overensstemmelse med denne afgørelses artikel 11.

4.   Mødearrangøren tilstræber at gruppere dagsordenpunkter klassificeret CONFIDENTIEL UE/EU CONFIDENTIAL og SECRET UE/EU SECRET, så de ligger i forlængelse af hinanden, for at fremme en smidig mødeafholdelse Kun personer med need to know, som er sikkerhedsgodkendte til den relevante grad og behørigt autoriserede, må være til stede under drøftelser af klassificerede punkter.

5.   Det skal fremgå af mødeindkaldelsen, at dagsordenen vil omfatte klassificerede emner, og at de relevante sikkerhedsforanstaltninger vil finde anvendelse.

6.   Mødearrangøren minder deltagerne om, at bærbart elektronisk udstyr skal efterlades uden for mødelokalet under drøftelser af CONFIDENTIEL UE/EU CONFIDENTIAL- eller SECRET UE/EU SECRET-punkter.

7.   Mødearrangøren udarbejder forud for mødet en komplet liste over deltagere. I henhold til artikel 4, stk. 6, i afgørelse nr. 41/2021 underretter mødearrangøren også i god tid den informationssikkerhedsansvarlige om mødedato, mødetidspunkt, mødested og deltagerliste.

1.   Mødearrangøren underretter den informationssikkerhedsansvarlige og den arkivansvarlige om eventuelle eksterne besøgende, der skal deltage i et møde klassificeret CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET, som er arrangeret af Revisionsretten.

2.   Deltagerne skal bevise, at de har en gyldig personelsikkerhedsgodkendelse til den relevante grad, for at kunne deltage i drøftelser af CONFIDENTIEL UE/EU CONFIDENTIAL- eller SECRET UE/EU SECRET-punkter på dagsordenen.

1.   Umiddelbart inden drøftelser af klassificerede informationer starter, meddeler formanden, at mødet nu vil omhandle klassificerede informationer. Dørene skal være lukkede.

2.   Der må kun udleveres det nødvendige antal dokumenter til deltagerne og eventuelle tolke, og der kvitteres herfor inden drøftelserne.

3.   CONFIDENTIEL UE/EU CONFIDENTIAL- og SECRET UE/EU SECRET-dokumenter må ikke efterlades uden opsyn i mødepauserne.

4.   Ved mødets afslutning mindes deltagerne og tolkene om, at klassificerede dokumenter eller klassificerede noter, som de måtte have udarbejdet, ikke må efterlades uden opsyn i lokalet. Der kvitteres for alle CONFIDENTIEL UE/EU CONFIDENTIAL- eller SECRET UE/EU SECRET-dokumenter, som deltagerne ikke har brug for ved mødets afslutning, og for alle de dokumenter, som tolkene har brugt, og dokumenterne returneres til den arkivansvarlige med henblik på destruktion i godkendte makulatorer (9).

5.   Listen over deltagere og et resumé af de klassificerede informationer, som er meddelt medlemsstaterne og videregivet mundtligt til tredjelande eller internationale organisationer, nedskrives i løbet af mødet, så disse oplysninger kan indgå i resultatet af drøftelserne.

1.   CONFIDENTIEL UE/EU CONFIDENTIAL- og SECRET UE/EU SECRET-informationer må kun deles med andre EU-institutioner, EU-agenturer, EU-organer eller EU-kontorer, hvis modtageren har et need to know, og enheden har en tilhørende retlig ordning med Revisionsretten.

2.   I Revisionsretten skal EUCI-arkivet generelt være hovedkanal for ind- og udgående udveksling af klassificerede informationer med andre EU-institutioner, EU-agenturer, EU-organer eller EU-kontorer.

1.   CONFIDENTIEL UE/EU CONFIDENTIAL- og SECRET UE/EU SECRET-informationer kan deles med medlemsstater, hvis modtageren har et need to know og er sikkerhedsgodkendt.

2.   Medlemsstaternes klassificerede informationer, som har en tilsvarende national klassifikationsmærkning (11), og som er meddelt Revisionsretten, gives samme grad af beskyttelse som CONFIDENTIEL UE/EU CONFIDENTIAL og SECRET UE/EU SECRET-informationer.

1.   CONFIDENTIEL UE/EU CONFIDENTIAL- og SECRET UE/EU SECRET-informationer må kun videregives til et tredjeland eller en international organisation, hvis modtageren har et need to know, og landet eller den internationale organisation har fastlagt en relevant juridisk eller administrativ ramme, såsom en informationssikkerhedsaftale eller en administrativ ordning med Revisionsretten. Bestemmelserne i en sådan aftale eller ordning har forrang for bestemmelserne i denne afgørelse.

2.   EUCI-arkivet skal generelt være hovedkanal for ind- og udgående CONFIDENTIEL UE/EU CONFIDENTIAL- og SECRET UE/EU SECRET-informationer, der udveksles mellem Revisionsretten og tredjelande eller internationale organisationer.

3.   Alle klassificerede informationer, der modtages fra et tredjeland eller en international organisation, skal registreres af hensyn til sikkerheden. Ansatte skal derfor kontakte EUCI-arkivet, hvis de modtager klassificerede informationer fra anden kanal end den vanlige kanal via arkivet.

4.   For at sikre sporbarhed registreres CONFIDENTIEL UE/EU CONFIDENTIAL- og SECRET UE/EU SECRET-informationer:

—	når de ankommer til eller forlader det sikrede område, og

—	når de overføres til eller forlader et CIS.

5.   Registreringen kan foretages på papir eller i elektroniske logbøger.

6.   Registreringsprocedurerne for håndtering af klassificerede informationer i et akkrediteret CIS kan gennemføres ved processer i selve CIS'et. I så fald skal CIS omfatte foranstaltninger, der sikrer logbøgernes integritet.

7.   Klassificerede informationer, der modtages fra et tredjeland eller en international organisation, nyder samme grad af beskyttelse som EUCI med en tilsvarende klassifikationsmærkning, jf. den respektive informationssikkerhedsaftale eller administrative ordning.

1.   Hvis Revisionsretten eller en af dens tjenester beslutter, at der er et ekstraordinært behov for at videregive CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET-informationer til et tredjeland, en international organisation eller en EU-enhed, men der ikke findes nogen informationssikkerhedsaftale eller administrativ ordning, anvendes proceduren for ekstraordinær ad hoc-videregivelse.

2.   Revisionsrettens tjenester kontakter den informationssikkerhedsansvarlige og udstederen. Revisionsretten søger vejledning hos en af parterne i en informationssikkerhedsaftale med samme tredjeland, internationale organisation eller EU-enhed.

3.   Herefter kan Revisionsrettens kollegium på grundlag af et forslag fra generalsekretæren tillade videregivelse af de pågældende informationer.

1.   Informationer må kun være klassificerede, så længe beskyttelsen af dem er nødvendig. Ved nedklassificering forstås nedsættelse til en lavere klassifikationsgrad. Ved afklassificering forstås, at informationerne ikke længere anses for at være klassificerede. På det tidspunkt, hvor informationerne udarbejdes, angiver udstederen så vidt muligt, om EUCI kan nedklassificeres eller afklassificeres på en bestemt dato eller efter en bestemt begivenhed. I modsat fald tager udsteder mindst hvert femte år informationerne op til revision og vurderer risiciene med henblik på at afgøre, om den oprindelige klassifikationsgrad stadig er relevant.

2.   Revisionsrettens dokumenter kan også nedklassificeres eller afklassificeres på ad hoc-basis, f.eks. efter en anmodning fra offentligheden om aktindsigt.

1.   CONFIDENTIEL UE/EU CONFIDENTIAL- og SECRET UE/EU SECRET-informationer må ikke nedklassificeres eller afklassificeres uden udsteders tilladelse.

2.   Den tjeneste i Revisionsretten, der har udarbejdet et klassificeret dokument, er ansvarlig for at afgøre, om det kan nedklassificeres eller afklassificeres. I Revisionsretten skal alle anmodninger om nedklassificering og afklassificering være genstand for høring af den udstedende tjenestes chef eller direktør eller af den opgaveansvarlige. Hvis tjenesten har samlet klassificerede informationer fra forskellige kilder, indhenter den først samtykke fra alle andre parter, der har leveret kildemateriale, herunder i medlemsstaterne, andre EU-organer, tredjelande eller internationale organisationer.

3.   Hvis den udstedende tjeneste i Revisionsretten ikke længere findes, og dens opgaver er overtaget af en anden tjeneste, træffes afgørelsen om nedklassificering eller afklassificering af denne tjeneste. Hvis den udstedende tjeneste ikke længere findes, og dens opgaver ikke er overtaget af en anden tjeneste, træffes afgørelsen om nedklassificering eller afklassificering i fællesskab af Revisionsrettens direktører.

4.   Den tjeneste, der er ansvarlig for nedklassificeringen eller afklassificeringen, samarbejder med EUCI-arkivet om, hvordan nedklassificeringen eller afklassificeringen skal foregå i praksis.

1.   Den oprindelige klassifikationsmærkning øverst og nederst på hver side streges tydeligt over (men fjernes ikke) enten ved hjælp af »gennemstregningsfunktionen«, når der er tale om dokumenter i elektronisk form, eller manuelt, når der er tale om trykte dokumenter.

2.   Den første side (forsiden) stemples som nedklassificeret eller afklassificeret og forsynes med nærmere oplysninger om den myndighed, der er ansvarlig for nedklassificeringen eller afklassificeringen, og den tilhørende dato.

3.   De oprindelige modtagere af CONFIDENTIEL UE/EU CONFIDENTIAL- og SECRET UE/EU SECRET-informationerne underrettes om nedklassificeringen eller afklassificeringen. De oprindelige modtagere er ansvarlige for at underrette alle senere modtagere, som de har sendt eller kopieret de oprindelige CONFIDENTIEL UE/EU CONFIDENTIAL- eller SECRET UE/EU SECRET-informationer til.

4.   Revisionsrettens arkivtjeneste underrettes om alle afgørelser om afklassificering.

5.   Alle oversættelser af klassificerede informationer skal underkastes samme nedklassificerings- eller afklassificeringsprocedurer som den originale sprogudgave.

1.   Delvis nedklassificering eller afklassificering er også mulig (f.eks. bilag eller bestemte afsnit). Proceduren er den samme som den, der gælder for nedklassificering eller afklassificering af et helt dokument.

2.   Efter en delvis afklassificering af CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET-informationer udarbejdes et afklassificeret uddrag.

3.   I det afklassificerede uddrag erstattes de dele, der forbliver klassificerede, af:

PART NOT TO BE DECLASSIFIED

enten i brødteksten i selve teksten, hvis den del, der forbliver klassificeret, er en del af et afsnit, eller som et afsnit, hvis den del, der forbliver klassificeret, udgør et eller flere hele afsnit.

4.   Det anføres specifikt i teksten, hvis et helt bilag ikke kan afklassificeres og derfor er udeladt af uddraget.

1.   Revisionsretten må ikke akkumulere store mængder klassificerede informationer.

2.   De udstedende tjenester gennemgår mindst hvert femte år dokumenter med henblik på destruktion eller sletning. Dette gøres regelmæssigt vedrørende både informationer, der foreligger i papirform, og informationer, der er lagret i CIS.

3.   Ansatte må ikke destruere papirudgaver af CONFIDENTIEL UE/EU CONFIDENTIAL- eller SECRET UE/EU SECRET-dokumenter, som de ikke længere har brug for, men skal i stedet anmode den arkivansvarlige om at destruere dem, med forbehold af eventuelle arkiveringskrav til det oprindelige dokument.

4.   Ansatte må ikke pålægges krav om at skulle underrette udsteder om, at de destruerer eller sletter kopier af CONFIDENTIEL UE/EU CONFIDENTIAL- eller SECRET UE/EU SECRET-dokumenter.

5.   Udkast, som indeholder klassificerede informationer, er omfattet af samme bortskaffelsesmetoder som endelige klassificerede dokumenter.

6.   Kun godkendte makulatorer må anvendes til at destruere CONFIDENTIEL UE/EU CONFIDENTIAL- og SECRET UE/EU SECRET-dokumenter. Makulatorer med sikkerhedsniveau 5 i DIN 66399 kan benyttes til destruktion af CONFIDENTIEL UE/EU CONFIDENTIAL-dokumenter. Makulatorer med sikkerhedsniveau 6 i DIN 66399 kan benyttes til destruktion af SECRET UE/EU SECRET-dokumenter.

7.   Strimler fra godkendte makulatorer kan deponeres som normalt kontoraffald.

8.   Den arkivansvarlige udsteder destruktionsattester og ajourfører logbøger og andre registreringsoplysninger tilsvarende.

9.   Alle medier og alt udstyr, der indeholder CONFIDENTIEL UE/EU CONFIDENTIAL- eller SECRET UE/EU SECRET-informationer, skal renses grundigt, når de er udtjent. Elektroniske data destrueres eller slettes fra IT-ressourcer og tilhørende lagringsmedier på en måde, der giver rimelig garanti for, at informationerne ikke kan gendannes. Rensningen skal fjerne alle data fra lagringsudstyret såvel som alle etiketter, mærkninger og aktivitetslogge.

10.   Computerlagringsmedier gives til den informationssikkerhedsansvarlige med henblik på destruktion og bortskaffelse efter underretning af den arkivansvarlige.

1.   Kommissionens etablerede procedure for beskyttelse af klassificerede informationer i nødsituationer finder anvendelse, jf. aftalememorandummet mellem Revisionsretten og Kommissionens Generaldirektorat for Menneskelige Ressourcer og Sikkerhed om brug af dets sikrede område. Hvis det er nødvendigt, har den lokale sikkerhedsansvarlige for Luxembourg i Kommissionens sikkerhedsdirektorat adgang til Revisionsrettens pengeskab, således at vedkommende kan anvende Kommissionens etablerede nødprocedure og aktivere planer for nødflytning og nøddestruktion for at beskytte EUCI, der har en betydelig risiko for at falde i de forkerte hænder i en krisesituation. I prioriteret rækkefølge og afhængigt af nødsituationen overvejes det, om:

i)	EUCI skal flyttes til et alternativt sikkert sted, om muligt et sikret område i samme bygning

ii)	EUCI skal flyttes til et alternativt sikkert sted, om muligt et sikret område i en anden bygning, helst tilhørende en EU-institution

iii)	EUCI skal destrueres, om muligt ved hjælp af godkendte destruktionsmidler.

2.   Hvis nødplanerne er aktiveret, gives det prioritet at flytte eller destruere SECRET UE/EU SECRET-informationer først og dernæst eventuelle CONFIDENTIEL UE/EU CONFIDENTIAL-informationer.

3.   De nærmere detaljer i planerne for nødflytning og nøddestruktion klassificeres RESTREINT UE/EU RESTRICTED. Der opbevares en kopi i hvert pengeskab, hvori der opbevares CONFIDENTIEL UE/EU CONFIDENTIAL- eller SECRET UE/EU SECRET-informationer, således at der er adgang hertil i tilfælde af en nødsituation.

1.   Afgørelser om, hvorvidt og hvornår noget skal arkiveres, samt de tilhørende praktiske foranstaltninger, der skal træffes, skal være i overensstemmelse med Revisionsrettens informationssikkerhedspolitik, dens politik for klassificering af oplysninger og dens arkivpolitik.

2.   CONFIDENTIEL UE/EU CONFIDENTIAL- og SECRET UE/EU SECRET-dokumenter må ikke sendes til Den Europæiske Unions historiske arkiver i Firenze.