1.

Dieser Anhang enthält Bestimmungen zur Anwendung von Artikel 7. Er legt die Kriterien fest, anhand derer festgestellt wird, ob eine Person unter Berücksichtigung ihrer Loyalität, Vertrauenswürdigkeit und Zuverlässigkeit zum Zugang zu EU-VS ermächtigt werden kann, sowie die hierzu anzuwendenden Untersuchungs- und Verwaltungsverfahren.

2.

Einer Person darf der Zugang zu Verschlusssachen nur gewährt werden, wenn

3.

Jeder Mitgliedstaat und das Generalsekretariat des Rates bestimmen innerhalb ihrer Strukturen die Dienstposten, für die ein Zugang zu als „CONFIDENTIEL UE/EU CONFIDENTIAL“ oder höher eingestuften Verschlusssachen und somit eine Verschlusssachenermächtigung für den entsprechenden Geheimhaltungsgrad erforderlich ist.

4.

Die Nationalen Sicherheitsbehörden oder andere zuständige nationale Behörden sind nach Erhalt eines entsprechenden Ersuchens dafür verantwortlich, sicherzustellen, dass Personen, die Staatsangehörige des betreffenden Staates sind und Zugang zu als „CONFIDENTIEL UE/EU CONFIDENTIAL“ oder höher eingestuften Verschlusssachen haben müssen, einer Sicherheitsüberprüfung unterzogen werden. Die Überprüfungsstandards müssen den innerstaatlichen Rechtsvorschriften im Hinblick auf die Ausstellung einer Sicherheitsermächtigung oder auf die Feststellung, dass die Person eine Genehmigung für den Zugang zu EU-VS erhalten kann, entsprechen.

5.

Hat die betreffende Person ihren Wohnsitz im Hoheitsgebiet eines anderen Mitgliedstaats oder eines Drittstaats, so ersuchen die zuständigen nationalen Behörden die zuständige Behörde des Wohnsitzstaats gemäß den innerstaatlichen Rechtsvorschriften um Unterstützung. Die Mitgliedstaaten unterstützen sich gegenseitig bei der Durchführung von Sicherheitsüberprüfungen gemäß den innerstaatlichen Rechtsvorschriften.

6.

Sofern die innerstaatlichen Rechtsvorschriften dies zulassen, können die Nationalen Sicherheitsbehörden oder andere zuständige nationale Behörden Überprüfungen von Personen anderer Staatsangehörigkeit durchführen, die Zugang zu als „CONFIDENTIEL UE/EU CONFIDENTIAL“ oder höher eingestuften Verschlusssachen haben müssen. Die Überprüfungsstandards müssen den innerstaatlichen Rechtsvorschriften entsprechen.

7.

Die Loyalität, Vertrauenswürdigkeit und Zuverlässigkeit einer Person zum Zwecke der Erteilung einer Verschlusssachenermächtigung im Hinblick auf den Zugang zu als „CONFIDENTIEL UE/EU CONFIDENTIAL“ oder höher eingestuften Verschlusssachen wird mit Hilfe einer Sicherheitsüberprüfung bestimmt. Ausgehend von den Ergebnissen der Sicherheitsüberprüfung nimmt die zuständige nationale Behörde eine Gesamtbewertung vor. Zu den Hauptkriterien, die zu diesem Zweck verwendet werden, gehört — soweit dies nach den innerstaatlichen Rechtsvorschriften möglich ist — eine Prüfung der Frage, ob die Person

8.

Bei der Sicherheitsüberprüfung können nach den innerstaatlichen Rechtsvorschriften gegebenenfalls auch die Vermögensverhältnisse und der Gesundheitszustand einer Person als relevant angesehen werden.

9.

Bei der Sicherheitsüberprüfung können nach den innerstaatlichen Rechtsvorschriften gegebenenfalls auch das Verhalten und die Lebensumstände des Ehegatten, Lebenspartners oder eines anderen engen Familienmitglieds als relevant angesehen werden.

10.

Die erstmalige Erteilung einer Verschlusssachenermächtigung für den Zugang zu Verschlusssachen der Geheimhaltungsgrade „CONFIDENTIEL UE/EU CONFIDENTIAL“ und „SECRET UE/EU SECRET“ erfolgt aufgrund einer Sicherheitsüberprüfung, die sich mindestens auf die letzten fünf Jahre oder, wenn dieser Zeitraum kürzer ist, auf die Zeit zwischen dem vollendeten 18. Lebensjahr und dem Zeitpunkt der Überprüfung erstreckt und Folgendes umfasst:

11.

Die erstmalige Erteilung einer Verschlusssachenermächtigung für den Zugang zu Verschlusssachen des Geheimhaltungsgrads „TRÈS SECRET UE/EU TOP SECRET“ erfolgt aufgrund einer Sicherheitsüberprüfung, die sich mindestens auf die letzten zehn Jahre oder, wenn dieser Zeitraum kürzer ist, auf die Zeit zwischen dem vollendeten 18. Lebensjahr und dem Zeitpunkt der Überprüfung erstreckt. Werden Befragungen nach Buchstabe e durchgeführt, so erstreckt sich die Überprüfung mindestens auf die letzten sieben Jahre oder, wenn dieser Zeitraum kürzer ist, auf die Zeit zwischen dem vollendeten 18. Lebensjahr und dem Zeitpunkt der Überprüfung. Zusätzlich zu den Kriterien nach Nummer 7 wird vor Erteilung einer Sicherheitsermächtigung für den Zugang zu Verschlusssachen des Geheimhaltungsgrads „TRÈS SECRET UE/EU TOP SECRET“, soweit dies nach den innerstaatlichen Rechtsvorschriften möglich ist, eine Überprüfung in Bezug auf die nachstehenden Aspekte vorgenommen; sofern die innerstaatlichen Rechtsvorschriften dies erfordern, können diese Aspekte auch vor Erteilung einer Sicherheitsermächtigung für den Zugang zu Verschlusssachen der Geheimhaltungsgrade „CONFIDENTIEL UE/EU CONFIDENTIAL“ oder „SECRET UE/EU SECRET“ überprüft werden:

12.

Erforderlichenfalls und nach Maßgabe der innerstaatlichen Rechtsvorschriften können zusätzliche Überprüfungen durchgeführt werden, um die zu einer Person vorliegenden sicherheitsrelevanten Informationen zu vertiefen und um nachteilige Erkenntnisse zu erhärten oder zu widerlegen.

13.

Nach der erstmaligen Erteilung einer Verschlusssachenermächtigung ist die Ermächtigung für den Geheimhaltungsgrad „TRÈS SECRET UE/EU TOP SECRET“ spätestens nach fünf Jahren und für die Geheimhaltungsgrade „SECRET UE/EU SECRET“ und „CONFIDENTIEL UE/EU CONFIDENTIAL“ spätestens nach zehn Jahren im Hinblick auf eine Erneuerung zu überprüfen, sofern die betreffende Person ununterbrochen bei einer nationalen Verwaltung oder dem Generalsekretariat des Rates tätig gewesen ist und weiterhin Zugang zu EU-VS benötigt; die genannten Zeiträume werden ab dem Tag der Mitteilung des Ergebnisses der letzten Sicherheitsüberprüfung berechnet, auf deren Grundlage die betreffende Verschlusssachenermächtigung erteilt wurde. Alle Sicherheitsüberprüfungen zur Erneuerung einer Verschlusssachenermächtigung erstrecken sich auf den seit der letzten Überprüfung vergangenen Zeitraum.

14.

Im Falle der Erneuerung von Verschlusssachenermächtigungen werden die Aspekte gemäß den Nummern 10 und 11 überprüft.

15.

Anträge auf Erneuerung sind rechtzeitig zu stellen, wobei die für Sicherheitsüberprüfungen erforderliche Zeitspanne zu berücksichtigen ist. Erhält die zuständige Nationale Sicherheitsbehörde oder eine sonstige zuständige nationale Behörde den betreffenden Erneuerungsantrag und den entsprechenden Sicherheitsfragebogen vor Ablauf der Gültigkeit einer Verschlusssachenermächtigung und ist die erforderliche Sicherheitsüberprüfung noch nicht abgeschlossen, so kann die zuständige nationale Behörde, sofern die innerstaatlichen Rechtsvorschriften dies zulassen, die Gültigkeit der bestehenden Verschlusssachenermächtigung um bis zu 12 Monate verlängern. Ist die Sicherheitsüberprüfung nach Ablauf dieses Zeitraums von 12 Monaten noch nicht abgeschlossen, so werden der betreffenden Person Aufgaben zugewiesen, für die eine Verschlusssachenermächtigung nicht erforderlich ist.

16.

Für Beamte und sonstige Bedienstete des Generalsekretariats des Rates sendet die Sicherheitsbehörde des Generalsekretariats des Rates den ausgefüllten Sicherheitsfragebogen an die Nationale Sicherheitsbehörde des Mitgliedstaats, dessen Staatsangehörigkeit die betreffende Person besitzt, und beantragt die Durchführung einer Sicherheitsüberprüfung für den Geheimhaltungsgrad von EU-VS, zu denen die betreffende Person Zugang haben muss.

17.

Werden dem Generalsekretariat des Rates sicherheitserhebliche Informationen zu einer Person bekannt, die eine Verschlusssachenermächtigung im Hinblick auf den Zugang zu EU-VS beantragt hat, so teilt es dies der zuständigen Nationalen Sicherheitsbehörde gemäß den einschlägigen Vorschriften mit.

18.

Nach Abschluss der Sicherheitsüberprüfung teilt die betreffende Nationale Sicherheitsbehörde der Sicherheitsbehörde des Generalsekretariats des Rates das Ergebnis der Überprüfung unter Verwendung des vom Sicherheitsausschuss für den Schriftverkehr vorgeschriebenen Formblatts mit.

19.

Für die Sicherheitsüberprüfung und deren Ergebnisse gelten die einschlägigen Rechtsvorschriften des betreffenden Mitgliedstaats, einschließlich der Rechtsvorschriften für etwaige Rechtsbehelfe. Gegen Entscheidungen der Anstellungsbehörde des Generalsekretariats des Rates können Rechtsbehelfe gemäß dem Statut der Beamten der Europäischen Union und der Beschäftigungsbedingungen für die sonstigen Bediensteten der Europäischen Union gemäß der Verordnung (EWG, Euratom, EGKS) Nr. 259/68 des Rates (1) (im Folgenden „Statut und Beschäftigungsbedingungen“) eingelegt werden.

20.

Nationale Experten, die zum Generalsekretariat des Rates abgeordnet werden, um dort einen Dienstposten zu bekleiden, für den der Zugang zu als „CONFIDENTIEL UE/EU CONFIDENTIAL“ oder höher eingestuften EU-VS erforderlich ist, müssen der Sicherheitsbehörde des Generalsekretariats des Rates eine gültige Bescheinigung über die Sicherheitsermächtigung (Sicherheitsermächtigungsbescheinigung — Personnel Security Clearance Certificate, PSCC) für den Zugang zu EU-VS vorlegen, bevor sie ihren Dienst antreten, die Anstellungsbehörde erteilt auf dieser Grundlage eine Genehmigung für den Zugang zu EU-VS.

21.

Das Generalsekretariat des Rates erkennt die von anderen Organen, Einrichtungen oder Agenturen der Union ausgestellten Genehmigungen für den Zugang zu EU-VS an, solange diese gültig sind. Die Genehmigung erstreckt sich auf alle Aufgaben, die die betreffende Person im Generalsekretariat des Rates übernimmt. Das Organ, die Einrichtung oder die Agentur der Union, bei dem bzw. der die betreffende Person ihre Beschäftigung aufnimmt, unterrichtet die zuständige Nationale Sicherheitsbehörde über den Wechsel des Arbeitgebers.

22.

Nimmt eine Person innerhalb von 12 Monaten nach Mitteilung des Ergebnisses der Sicherheitsüberprüfung an die Anstellungsbehörde des Generalsekretariats des Rates ihren Dienst nicht auf oder unterbricht sie diesen für einen Zeitraum von 12 Monaten, in dem sie nicht beim Generalsekretariat des Rates oder bei einer nationalen Verwaltung eines Mitgliedstaats tätig ist, so wird die zuständige Nationale Sicherheitsbehörde mit diesem Ergebnis befasst, damit sie gegebenenfalls bestätigen kann, dass es weiterhin gültig und berechtigt ist.

23.

Werden dem Generalsekretariat des Rates Informationen in Bezug auf ein Sicherheitsrisiko durch eine Person bekannt, die eine Genehmigung für den Zugang zu EU-VS besitzt, so teilt das Generalsekretariat des Rates dies der zuständigen Nationalen Sicherheitsbehörde gemäß den einschlägigen Vorschriften mit; es kann den Zugang zu EU-VS aussetzen oder die Genehmigung für den Zugang zu EU-VS zurücknehmen.

24.

Teilt eine Nationale Sicherheitsbehörde dem Generalsekretariat des Rates mit, dass eine gemäß Nummer 18 Buchstabe a erfolgte Feststellung in Bezug auf eine Person, die im Besitz einer Genehmigung für den Zugang zu EU-VS ist, zurückgenommen wurde, kann die Anstellungsbehörde des Generalsekretariats des Rates bei der Nationalen Sicherheitsbehörde um alle weiteren Auskünfte nachsuchen, die diese nach ihren innerstaatlichen Rechtsvorschriften geben darf. Bei Bestätigung der nachteiligen Erkenntnisse wird die Genehmigung zurückgenommen und die betreffende Person vom Zugang zu EU-VS und von Dienstposten, auf denen sie sich Zugang zu EU-VS verschaffen kann oder auf denen sie ein Sicherheitsrisiko darstellen könnte, ausgeschlossen.

25.

Jede Entscheidung über die Rücknahme oder die Aussetzung einer Genehmigung für den Zugang zu EU-VS für einen Beamten oder sonstigen Bediensteten des Generalsekretariats des Rates und gegebenenfalls die dafür maßgeblichen Gründe werden der betreffenden Person mitgeteilt; die betreffende Person kann beantragen, von der Anstellungsbehörde gehört zu werden. Für die von einer Nationalen Sicherheitsbehörde zur Verfügung gestellten Informationen gelten die einschlägigen Rechtsvorschriften des betreffenden Mitgliedstaats, einschließlich der Rechtsvorschriften für etwaige Rechtsbehelfe. Gegen Entscheidungen der Anstellungsbehörde des Generalsekretariats des Rates können Rechtsbehelfe gemäß dem Statut und den Beschäftigungsbedingungen eingelegt werden.

26.

Jeder Mitgliedstaat und das Generalsekretariat des Rates führen jeweils ein Verzeichnis der Sicherheitsermächtigungen bzw. der Genehmigungen, die im Hinblick auf den Zugang zu als „CONFIDENTIEL UE/EU CONFIDENTIAL“ oder höher eingestuften Verschlusssachen erteilt wurden. Diese Verzeichnisse enthalten mindestens Angaben zum Geheimhaltungsgrad der EU-VS, zu denen die betreffende Person Zugang haben darf, das Datum, an dem die Verschlusssachenermächtigung erteilt wurde, und deren Gültigkeitsdauer.

27.

Die zuständige Sicherheitsbehörde kann eine PSCC ausstellen, die Angaben zum Geheimhaltungsgrad der EU-VS, zu denen die Person Zugang haben darf (als „CONFIDENTIEL UE/EU CONFIDENTIAL“ oder höher eingestufte Verschlusssachen), zur Gültigkeitsdauer der betreffenden Sicherheitsermächtigung für den Zugang zu EU-VS bzw. der Genehmigung für den Zugang zu EU-VS und zum Ende der Gültigkeitsdauer der Bescheinigung selbst enthält.

28.

Für Personen, die in den Mitgliedstaaten aufgrund ihrer Aufgaben förmlich entsprechend befugt worden sind, wird der Zugang zu EU-VS gemäß den innerstaatlichen Rechtsvorschriften bestimmt; diese Personen werden über ihre Verpflichtungen aus den Sicherheitsvorschriften hinsichtlich des Schutzes von EU-VS belehrt.

29.

Alle Personen, denen eine Verschlusssachenermächtigung erteilt wurde, bestätigen schriftlich, dass sie sich ihrer Verpflichtungen in Bezug auf den Schutz von EU-VS und der Folgen einer Kenntnisnahme von EU-VS durch Unbefugte bewusst sind. Der Mitgliedstaat bzw. das Generalsekretariat des Rates verwahrt die Aufzeichnungen über derartige schriftliche Bestätigungen.

30.

Alle Personen, die zum Zugang zu EU-VS ermächtigt sind oder EU-VS bearbeiten müssen, werden in einer ersten Phase für Bedrohungen der Sicherheit sensibilisiert und später in regelmäßigen Abständen darüber unterrichtet; sie müssen alle von ihnen als verdächtig oder ungewöhnlich erachteten Anbahnungsversuche oder sonstigen Tätigkeiten unverzüglich den für Sicherheit zuständigen Stellen melden.

31.

Alle Personen, die nicht mehr mit Aufgaben betraut sind, die einen Zugang zu EU-VS erfordern, werden über ihre Verpflichtungen in Bezug auf den fortgesetzten Schutz von EU-VS belehrt und haben diese Belehrung gegebenenfalls schriftlich zu bestätigen.

32.

Soweit die innerstaatlichen Rechtsvorschriften dies zulassen, kann eine von einer zuständigen nationalen Behörde eines Mitgliedstaats für den Zugang zu nationalen Verschlusssachen erteilte Verschlusssachenermächtigung während eines befristeten Zeitraums bis zur Erteilung einer Sicherheitsermächtigung für den Zugang zu EU-VS nationale Bedienstete zum Zugang zu EU-VS bis zu der entsprechenden Geheimhaltungsstufe gemäß der Entsprechungstabelle in Anlage B berechtigen, wenn ein solcher befristeter Zugang im Interesse der Union erforderlich ist. Die Nationalen Sicherheitsbehörden unterrichten den Sicherheitsausschuss, sofern die innerstaatlichen Rechtsvorschriften einen befristeten Zugang zu EU-VS nicht zulassen.

33.

Aus Gründen der Dringlichkeit kann die Anstellungsbehörde des Generalsekretariats des Rates in Erwartung des Abschlusses einer umfassenden Sicherheitsüberprüfung nach Konsultation der Nationalen Sicherheitsbehörde des Mitgliedstaats, dessen Staatsangehörigkeit die betreffende Person besitzt, und vorbehaltlich der Ergebnisse einer ersten Prüfung, die dazu dient, festzustellen, ob keine nachteiligen Erkenntnisse vorliegen, Beamten und sonstigen Bediensteten des Generalsekretariats des Rates eine vorläufige Ermächtigung zum Zugang zu EU-VS für eine bestimmte Tätigkeit erteilen, wenn dies im dienstlichen Interesse gerechtfertigt ist. Solche vorläufigen Ermächtigungen gelten für höchstens sechs Monate und berechtigen nicht zum Zugang zu Verschlusssachen, die als „TRÈS SECRET UE/EU TOP SECRET“ eingestuft sind. Alle Personen, denen eine vorläufige Ermächtigung erteilt wurde, bestätigen schriftlich, dass sie sich ihrer Pflichten in Bezug auf den Schutz von EU-VS und der Folgen einer Kenntnisnahme von EU-VS durch Unbefugte bewusst sind. Das Generalsekretariat des Rates verwahrt die Aufzeichnungen über derartige schriftliche Bestätigungen.

34.

Wird einer Person eine Tätigkeit zugewiesen, die eine Verschlusssachenermächtigung erfordert, die für Verschlusssachen gilt, die einen eine Stufe höheren Geheimhaltungsgrad aufweisen als die Verschlusssachen, für die sie eine Ermächtigung besitzt, so kann die Zuweisung dieser Tätigkeit vorläufig erfolgen, sofern

35.

Das vorstehend beschriebene Verfahren gilt für den einmaligen Zugang zu EU-VS, die einen eine Stufe höheren Geheimhaltungsgrad aufweisen als derjenige, für den die betreffende Person ermächtigt wurde. Auf dieses Verfahren darf nicht regelmäßig zurückgegriffen werden.

36.

In besonderen Ausnahmefällen, wie bei Missionen in feindlicher Umgebung oder in Zeiten zunehmender internationaler Spannungen, wenn Sofortmaßnahmen ergriffen werden müssen, insbesondere zur Rettung von Menschenleben, können die Mitgliedstaaten und der Generalsekretär Personen, die nicht die erforderliche Verschlusssachenermächtigung besitzen, nach Möglichkeit schriftlich Zugang zu als „CONFIDENTIEL UE/EU CONFIDENTIAL“ oder „SECRET UE/EU SECRET“ eingestuften Verschlusssachen gewähren, sofern eine derartige Erlaubnis absolut notwendig ist und keine begründeten Zweifel an der Loyalität, Vertrauenswürdigkeit und Zuverlässigkeit der betreffenden Person bestehen. Von dieser Erlaubnis wird eine Aufzeichnung aufbewahrt, in der die Verschlusssachen beschrieben werden, zu denen der Zugang genehmigt wurde.

37.

Im Falle von Verschlusssachen, die als „TRÈS SECRET UE/EU TOP SECRET“ eingestuft sind, wird diese Art des Zugangs in Ausnahmefällen auf Staatsangehörige der Mitgliedstaaten der Union beschränkt, die zum Zugang entweder zu nationalen Verschlusssachen, die dem Geheimhaltungsgrad „TRÈS SECRET UE/EU TOP SECRET“ entsprechen, oder zu Verschlusssachen des Geheimhaltungsgrads „SECRET UE/EU SECRET“ ermächtigt wurden.

38.

Der Sicherheitsausschuss wird über die Fälle unterrichtet, in denen auf das Verfahren nach den Nummern 36 und 37 zurückgegriffen wird.

39.

Sehen die innerstaatlichen Rechtsvorschriften eines Mitgliedstaats strengere Vorschriften in Bezug auf befristete Ermächtigungen, die vorläufige Zuweisung von Tätigkeiten, den einmaligen Zugang oder den Zugang im Notfall von Personen zu Verschlusssachen vor, so werden die in diesem Abschnitt vorgesehenen Verfahren nur innerhalb der von den einschlägigen innerstaatlichen Rechtsvorschriften gesetzten Grenzen angewandt.

40.

Der Sicherheitsausschuss erhält einen jährlichen Bericht über die Inanspruchnahme der in diesem Abschnitt beschriebenen Verfahren.

41.

Vorbehaltlich der Nummer 28 darf Personen, die an Tagungen des Rates oder an Sitzungen seiner Vorbereitungsgremien teilnehmen sollen, in deren Rahmen als „CONFIDENTIEL UE/EU CONFIDENTIAL“ und höher eingestufte Informationen erörtert werden, die Teilnahme nur dann gestattet werden, wenn die Verschlusssachenermächtigung der betreffenden Person bestätigt wurde. Im Falle von Delegierten wird eine Sicherheitsermächtigungsbescheinigung (PSCC) oder ein anderer Nachweis für eine Verschlusssachenermächtigung dem Sicherheitsbüro des Generalsekretariats des Rates von den zuständigen Behörden übermittelt oder ausnahmsweise von dem betreffenden Delegierten vorgelegt. Gegebenenfalls kann eine konsolidierte Namensliste verwendet werden, die den einschlägigen Nachweis einer Verschlusssachenermächtigung enthält.

42.

Wird einer Person, die im Rahmen ihrer Aufgaben an Tagungen des Rates oder an Sitzungen seiner Vorbereitungsgremien teilnehmen muss, die Sicherheitsermächtigung für den Zugang zu EU-VS aus Sicherheitsgründen entzogen, so setzt die zuständige Behörde das Generalsekretariat des Rates davon in Kenntnis.

43.

Boten, Sicherheitsbedienstete und Begleitpersonen werden einer Sicherheitsüberprüfung der erforderlichen Geheimhaltungsstufe unterzogen oder auf andere Weise gemäß den innerstaatlichen Rechtsvorschriften angemessen überprüft und über die Sicherheitsverfahren zum Schutz von EU-VS sowie über ihre Pflichten zum Schutz der ihnen anvertrauten Verschlusssachen belehrt.

1.

Dieser Anhang enthält Bestimmungen zur Anwendung von Artikel 8. Er legt Mindestanforderungen an den materiellen Schutz von Gebäuden, Büros, Räumen und sonstigen Bereichen fest, in denen EU-VS bearbeitet und aufbewahrt werden, einschließlich Bereichen, in denen Kommunikations- und Informationssysteme untergebracht sind.

2.

Die Maßnahmen des materiellen Geheimschutzes zielen darauf ab, den Zugang unbefugter Personen zu EU-VS zu verhindern, indem

3.

Die Auswahl der Maßnahmen des materiellen Geheimschutzes erfolgt auf der Grundlage einer Einschätzung der Bedrohungslage durch die zuständigen Behörden. Das Generalsekretariat des Rates wie auch die Mitgliedstaaten wenden in ihren Gebäuden einen Risikomanagementprozess für den Schutz von EU-VS an, um dafür zu sorgen, dass der Umfang des materiellen Schutzes dem festgestellten Risiko entspricht. Bei dem Risikomanagementprozess wird allen relevanten Faktoren Rechnung getragen, insbesondere

4.

Die zuständige Sicherheitsbehörde legt unter Anwendung des Konzepts der mehrschichtigen Sicherheit die angemessene Kombination von Maßnahmen des materiellen Geheimschutzes fest, die durchgeführt werden müssen. Dies kann eine oder mehrere der folgenden Maßnahmen umfassen:

5.

Die zuständige Behörde kann befugt werden, Durchsuchungen an den Ein- und Ausgängen vorzunehmen, um damit vom Verbringen unzulässigen Materials in Räumlichkeiten oder Gebäude oder von der nicht genehmigten Mitnahme von EU-VS aus Räumlichkeiten oder Gebäuden abzuschrecken.

6.

Besteht die Gefahr einer — auch versehentlichen — unzulässigen Einsicht in EU-VS, so werden geeignete Maßnahmen ergriffen, um dieser Gefahr entgegenzuwirken.

7.

Bei neuen Anlagen müssen die Anforderungen hinsichtlich des materiellen Geheimschutzes und deren funktionale Spezifikationen bei der Planung und Konzeption der Anlagen festgelegt werden. Bei bestehenden Anlagen müssen die Anforderungen hinsichtlich des materiellen Geheimschutzes möglichst weitgehend umgesetzt werden.

8.

Bei der Beschaffung von Ausrüstung (wie Sicherheitsbehältnissen, Aktenvernichtern, Türschlössern, elektronischen Zugangskontrollsystemen, Einbruchsmeldeanlagen, Alarmsystemen) für den physischen Schutz von EU-VS stellt die zuständige Sicherheitsbehörde sicher, dass die Ausrüstung den genehmigten technischen Standards und Mindestanforderungen entspricht.

9.

Die technischen Spezifikationen der Ausrüstung, die zum physischen Schutz von EU-VS eingesetzt werden soll, werden in Sicherheitsleitlinien festgehalten, die vom Sicherheitsausschuss gebilligt werden.

10.

Die Sicherheitssysteme müssen in regelmäßigen Abständen überprüft werden; die Ausrüstung muss regelmäßig gewartet werden. Bei den Wartungsarbeiten ist dem Ergebnis der Überprüfungen Rechnung zu tragen, damit ein optimales Funktionieren der betreffenden Ausrüstung weiterhin gewährleistet ist.

11.

Die Wirksamkeit der einzelnen Sicherheitsmaßnahmen und des gesamten Sicherheitssystems ist bei jeder Inspektion zu überprüfen.

12.

Zum physischen Schutz von EU-VS werden zwei Arten von durch Maßnahmen des materiellen Geheimschutzes geschützten Bereichen oder entsprechende Bereiche auf nationaler Ebene eingerichtet:

In diesem Beschluss gelten alle Bezugnahmen auf Verwaltungsbereiche und besonders geschützte Bereiche, einschließlich technisch abgesicherter Bereiche, auch als Bezugnahmen auf die entsprechenden Bereiche auf nationaler Ebene.

13.

Die zuständige Sicherheitsbehörde legt fest, ob ein bestimmter Bereich die Anforderungen für eine Ausweisung als Verwaltungsbereich, als besonders geschützter Bereich oder technisch abgesicherter Bereich erfüllt.

14.

Für Verwaltungsbereiche:

15.

Für besonders geschützte Bereiche:

16.

Wenn das Betreten eines besonders geschützten Bereichs de facto den unmittelbaren Zugang zu darin enthaltenen Verschlusssachen ermöglicht, sind außerdem folgende Anforderungen zu erfüllen:

17.

Besonders geschützte Bereiche mit Abhörschutz sind als technisch abgesicherte Bereiche auszuweisen. Es gelten die folgenden zusätzlichen Anforderungen:

18.

Ungeachtet der Nummer 17 Buchstabe d müssen alle Kommunikationsgeräte und elektrischen oder elektronischen Geräte vor ihrer Nutzung in Bereichen, in denen Sitzungen oder Arbeiten zu Verschlusssachen des Geheimhaltungsgrads „SECRET UE/EU SECRET“ und höher stattfinden, sowie in Fällen, in denen die Gefährdung von EU-VS als hoch eingeschätzt wird, vorab von der zuständigen Sicherheitsbehörde untersucht werden, um sicherzustellen, dass mit diesen Geräten keine verständlichen Informationen auf unbeabsichtigte oder unzulässige Weise aus dem betreffenden abgesicherten Bereich nach außen übermittelt werden können.

19.

Die abgesicherten Bereiche, die nicht rund um die Uhr von Dienst tuendem Personal besetzt sind, sind gegebenenfalls unmittelbar nach den üblichen Arbeitszeiten und in unregelmäßigen Abständen außerhalb der üblichen Arbeitszeiten zu inspizieren, es sei denn, es wird eine Einbruchsmeldeanlage verwendet.

20.

Innerhalb eines Verwaltungsbereichs können zeitweilig abgesicherte Bereiche oder technisch abgesicherte Bereiche im Hinblick auf eine geheimhaltungsbedürftige Sitzung oder einen anderen ähnlichen Zweck eingerichtet werden.

21.

Für jeden abgesicherten Bereich werden sicherheitsbezogene Sicherheitsbetriebsverfahren aufgestellt, die Folgendes regeln:

22.

Tresorräume werden in abgesicherte Bereiche eingebaut. Wände, Böden, Decken, Fenster und verschließbare Türen müssen von der zuständigen Sicherheitsbehörde zugelassen werden und einen Schutz bieten, der dem eines Sicherheitsbehältnisses entspricht, das für die Aufbewahrung von EU-VS desselben Geheimhaltungsgrads zugelassen ist.

23.

EU-VS des Geheimhaltungsgrads „RESTREINT UE/EU RESTRICTED“ dürfen in folgenden Bereichen bearbeitet werden:

24.

EU-VS des Geheimhaltungsgrads „RESTREINT UE/EU RESTRICTED“ sind in geeigneten, verschließbaren Büromöbeln in einem Verwaltungsbereich oder einem besonders geschützten Bereich aufzubewahren. Sie können zeitweilig außerhalb eines besonders geschützten Bereichs oder eines Verwaltungsbereichs aufbewahrt werden, sofern der Besitzer sich verpflichtet hat, besondere Maßnahmen einzuhalten, die in den Sicherheitsanweisungen der zuständigen Sicherheitsbehörde festgelegt sind.

25.

EU-VS der Geheimhaltungsgrade „CONFIDENTIEL UE/EU CONFIDENTIAL“ oder „SECRET UE/EU SECRET“ dürfen in folgenden Bereichen bearbeitet werden:

26.

EU-VS der Geheimhaltungsgrade „CONFIDENTIEL UE/EU CONFIDENTIAL“ und „SECRET UE/EU SECRET“ werden in einem besonders geschützten Bereich entweder in einem Sicherheitsbehältnis oder in einem Tresorraum aufbewahrt.

27.

EU-VS des Geheimhaltungsgrads „TRÈS SECRET UE/EU TOP SECRET“ werden in einem besonders geschützten Bereich bearbeitet.

28.

EU-VS des Geheimhaltungsgrads „TRÈS SECRET UE/EU TOP SECRET“ sind in einem besonders geschützten Bereich unter einer der folgenden Bedingungen aufzubewahren:

29.

Die Vorschriften über die Beförderung von EU-VS außerhalb von physisch geschützten Bereichen sind in Anhang III enthalten.

30.

Die zuständige Sicherheitsbehörde legt Verfahren für die Verwaltung der Schlüssel und Kombinationen für Büros, Räume, Tresorräume und Sicherheitsbehältnisse fest. Diese Verfahren müssen Schutz vor unbefugtem Zugang gewähren.

31.

Der Kreis der Personen, denen die Kombinationen zur Kenntnis gegeben werden, ist so weit wie möglich zu begrenzen. Die Kombinationen für Sicherheitsbehältnisse und für Tresorräume, in denen EU-VS aufbewahrt werden, sind zu ändern

1.

Dieser Anhang enthält Bestimmungen zur Anwendung von Artikel 9. In ihm sind die Verwaltungsmaßnahmen zur Überwachung von EU-VS während der gesamten Dauer ihrer Einstufung als EU-VS festgelegt; diese sollen dazu dienen, die beabsichtigte oder unbeabsichtigte Kenntnisnahme dieser Verschlusssachen durch Unbefugte bzw. den Verlust dieser Verschlusssachen zu verhindern und festzustellen.

2.

Informationen werden als Verschlusssache eingestuft, wenn sie hinsichtlich ihrer Vertraulichkeit zu schützen sind.

3.

Der Herausgeber einer EU-VS ist dafür zuständig, nach Maßgabe der einschlägigen Einstufungsleitlinien den Geheimhaltungsgrad und den ursprünglichen Empfängerkreis der Informationen zu bestimmen.

4.

Der Geheimhaltungsgrad einer EU-VS ist nach Artikel 2 Absatz 2 und unter Bezugnahme auf das gemäß Artikel 3 Absatz 3 zu billigende Sicherheitskonzept festzulegen.

5.

Der Geheimhaltungsgrad ist eindeutig und richtig anzugeben, unabhängig davon, ob die EU-VS im Papierformat, in mündlicher, elektronischer oder anderer Form vorliegt.

6.

Einzelne Teile eines bestimmten Dokuments (d. h. Seiten, Absätze, Abschnitte, Anhänge oder sonstige Anlagen) können eine unterschiedliche Einstufung erforderlich machen und sind entsprechend zu kennzeichnen, auch bei Aufbewahrung in elektronischer Form.

7.

Der Geheimhaltungsgrad des Gesamtdokuments oder der Datei entspricht mindestens dem Geheimhaltungsgrad seines/ihres am höchsten eingestuften Teils. Werden Informationen aus verschiedenen Quellen in einem Dokument zusammengestellt, so wird die endgültige Fassung durchgesehen, um den grundsätzlichen Geheimhaltungsgrad zu bestimmen, da sie einen höheren Geheimhaltungsgrad als für die einzelnen Bestandteile nötig erfordern kann.

8.

Dokumente, die Teile mit unterschiedlichen Geheimhaltungsgraden umfassen, sollten möglichst so untergliedert werden, dass Teile mit verschiedenen Geheimhaltungsgraden leicht zu erkennen sind und gegebenenfalls abgetrennt werden können.

9.

Ein Begleitschreiben oder ein Übermittlungsvermerk samt Anlagen ist so hoch einzustufen wie die am höchsten eingestufte Anlage. Der Herausgeber muss anhand einer entsprechenden Kennzeichnung klar angeben, welcher Geheimhaltungsgrad für das Begleitschreiben bzw. den Übermittlungsvermerk gilt, wenn diesem die Anlagen nicht beigefügt sind, z. B.:

CONFIDENTIEL UE/EU CONFIDENTIAL

Ohne Anlage(n) RESTREINT UE/EU RESTRICTED

10.

Zusätzlich zu einer der VS-Kennzeichnungen nach Artikel 2 Absatz 2 können EU-VS mit zusätzlichen Kennzeichnungen versehen sein, wie z. B.

11.

Standardmäßig abgekürzte Einstufungskennzeichnungen können verwendet werden, um den Geheimhaltungsgrad einzelner Absätze eines Textes auszuweisen. Die Abkürzungen ersetzen nicht die kompletten Einstufungskennzeichnungen.

12.

In EU-VS können folgende Standardabkürzungen verwendet werden, um den Geheimhaltungsgrad von Textabschnitten oder Textteilen von weniger als einer Seite anzugeben:

13.

Bei der Erstellung einer EU-Verschlusssache

14.

Ist eine Anwendung der Nummer 13 auf EU-VS nicht möglich, so sind im Einklang mit nach Artikel 6 Absatz 2 festzulegenden Sicherheitsleitlinien andere geeignete Maßnahmen anzuwenden.

15.

Der Herausgeber teilt, sofern möglich und insbesondere bei Verschlusssachen mit dem Geheimhaltungsgrad „RESTREINT UE/EU RESTRICTED“, zum Zeitpunkt der Erstellung einer EU-VS mit, ob deren Geheimhaltungsgrad zu einem bestimmten Zeitpunkt oder im Anschluss an ein bestimmtes Ereignis herabgestuft oder aufgehoben werden kann.

16.

Das Generalsekretariat des Rates überprüft regelmäßig die in seinem Besitz befindlichen EU-VS daraufhin, ob ihr Geheimhaltungsgrad weiterhin zutreffend ist. Das Generalsekretariat des Rates legt ein System fest, mit dem der Geheimhaltungsgrad der von ihm stammenden EU-VS mindestens alle fünf Jahre überprüft wird. Eine solche Überprüfung ist nicht erforderlich, wenn der Herausgeber bereits von vornherein mitgeteilt hat, dass der Geheimhaltungsgrad der Informationen automatisch herabgestuft oder aufgehoben wird, und die Informationen entsprechend gekennzeichnet wurden.

17.

Für jede Stelle im Generalsekretariat des Rates und in den nationalen Verwaltungen der Mitgliedstaaten, in denen EU-VS bearbeitet werden, wird eine zuständige Registratur bestimmt, damit bei der Bearbeitung von EU-VS die Einhaltung dieses Beschlusses gewährleistet wird. Die Registraturen werden als besonders geschützte Bereiche im Sinne des Anhangs II eingerichtet.

18.

Im Sinne dieses Beschlusses bezeichnet der Ausdruck „Registrierung zu Sicherheitszwecken“ (im Folgenden „Registrierung“) die Durchführung von Verfahren, bei denen jede Phase des Umlaufs der Materialien, auch deren Weitergabe und Vernichtung, aufgezeichnet wird.

19.

Alle als „CONFIDENTIEL UE/EU CONFIDENTIAL“ und höher eingestuften Materialien sind in den benannten Registraturen zu registrieren, wenn sie in einer Verwaltungseinheit eingehen oder diese verlassen.

20.

Die Zentralregistratur im Generalsekretariat des Rates verwahrt die Aufzeichnungen über alle Verschlusssachen, die vom Rat und vom Generalsekretariat des Rates an Drittstaaten und internationale Organisationen weitergegeben werden, und über alle Verschlusssachen, die von Drittstaaten oder internationalen Organisationen eingehen.

21.

Im Falle eines Kommunikations- und Informationssystems können die Registrierungsverfahren durch Prozesse im Kommunikations- und Informationssystem selbst vorgenommen werden.

22.

Der Rat billigt ein Sicherheitskonzept in Bezug auf die Registrierung von EU-VS zu Sicherheitszwecken.

23.

In den Mitgliedstaaten und im Generalsekretariat des Rates wird eine Registratur benannt, die als zentrale Eingangs- und Ausgangsstelle für als „TRÈS SECRET UE/EU TOP SECRET“ eingestufte Verschlusssachen fungiert. Sofern erforderlich, können nachgeordnete Registraturen zur Bearbeitung dieser Verschlusssachen zu Registrierungszwecken bestimmt werden.

24.

Diese nachgeordneten Registraturen dürfen als „TRÈS SECRET UE/EU TOP SECRET“ eingestufte Dokumente nicht unmittelbar an andere nachgeordnete Registraturen derselben zentralen „TRÈS SECRET UE/EU TOP SECRET“-Registratur oder anderweitig übermitteln, ohne dass diese ihre ausdrückliche schriftliche Zustimmung erteilt hat.

25.

Als „TRÈS SECRET UE/EU TOP SECRET“ eingestufte Dokumente dürfen ohne vorherige schriftliche Zustimmung des Herausgebers weder kopiert noch übersetzt werden.

26.

Hat der Herausgeber von als „SECRET UE/EU SECRET“ und niedriger eingestuften Dokumenten keine Einschränkungen hinsichtlich der Anfertigung von Kopien oder Übersetzungen auferlegt, so können diese Dokumente auf Anweisung des Besitzers kopiert bzw. übersetzt werden.

27.

Die für das Originaldokument geltenden Sicherheitsmaßnahmen finden auf Kopien und Übersetzungen dieses Dokuments Anwendung.

28.

Für die Beförderung von EU-VS gelten die Schutzmaßnahmen nach den Nummern 30 bis 41. Bei der Beförderung von EU-VS auf elektronischen Datenträgern können ungeachtet des Artikels 9 Absatz 4 die nachstehend beschriebenen Schutzmaßnahmen entsprechend den Weisungen der zuständigen Sicherheitsbehörde durch geeignete technische Abwehrmaßnahmen ergänzt werden, damit das Risiko eines Verlusts oder der Kenntnisnahme durch Unbefugte so gering wie möglich gehalten wird.

29.

Die zuständigen Sicherheitsbehörden des Generalsekretariats des Rates und der Mitgliedstaaten erlassen ergänzende Weisungen für die Beförderung von EU-VS nach Maßgabe dieses Beschlusses.

30.

EU-VS, die innerhalb eines Gebäudes oder einer geschlossenen Gebäudegruppe befördert werden, sind zu verpacken, damit keine Rückschlüsse auf ihren Inhalt möglich sind.

31.

Innerhalb eines Gebäudes oder einer geschlossenen Gebäudegruppe werden Verschlusssachen des Geheimhaltungsgrads „TRÈS SECRET UE/EU TOP SECRET“ in einem gesicherten Umschlag befördert, auf dem lediglich der Name des Empfängers angegeben ist.

32.

EU-VS, die zwischen Gebäuden oder Räumlichkeiten innerhalb der Union befördert werden, sind so zu verpacken, dass sie vor unbefugter Kenntnisnahme geschützt sind.

33.

Die Beförderung von Verschlusssachen mit den Geheimhaltungsgraden „CONFIDENTIEL UE/EU CONFIDENTIAL“ oder „SECRET UE/EU SECRET“ innerhalb der Union erfolgt

Bei der Beförderung von einem Mitgliedstaat in einen anderen wird Buchstabe c lediglich auf Verschlusssachen bis zum Geheimhaltungsgrad „CONFIDENTIEL UE/EU CONFIDENTIAL“ angewendet.

34.

Informationen des Geheimhaltungsgrads „RESTREINT UE/EU RESTRICTED“ dürfen auch durch Postdienste oder private Kurierdienste befördert werden. Ein Kurierausweis ist für die Beförderung solcher Informationen nicht erforderlich.

35.

Als „CONFIDENTIEL UE/EU CONFIDENTIAL“ oder „SECRET UE/EU SECRET“ eingestufte Materialien (beispielsweise Geräte oder Maschinen), die nicht mit den unter Nummer 33 aufgeführten Beförderungsmitteln befördert werden können, werden nach Maßgabe des Anhangs V von gewerblichen Beförderungsunternehmen als Fracht befördert.

36.

Die Beförderung von als „TRÈS SECRET UE/EU TOP SECRET“ eingestuften Verschlusssachen zwischen Gebäuden oder Räumlichkeiten innerhalb der Union erfolgt je nach Sachlage durch militärischen, diplomatischen oder Regierungskurier.

37.

EU-VS, die aus der Union in das Hoheitsgebiet eines Drittstaats befördert werden, sind so zu verpacken, dass sie vor unbefugter Kenntnisnahme geschützt sind.

38.

Die Beförderung von Verschlusssachen der Geheimhaltungsgrade „CONFIDENTIEL UE/EU CONFIDENTIAL“ oder „SECRET UE/EU SECRET“ aus der Union in das Hoheitsgebiet eines Drittstaats erfolgt

39.

Die Beförderung von Verschlusssachen der Geheimhaltungsgrade „CONFIDENTIEL UE/EU CONFIDENTIAL“ oder „SECRET UE/EU SECRET“ aus der Union in einen Drittstaat oder zu einer internationalen Organisation erfolgt nach den einschlägigen Bestimmungen eines Geheimschutzabkommens oder einer Verwaltungsvereinbarung nach Artikel 13 Absatz 2 Buchstabe a oder b.

40.

Informationen des Geheimhaltungsgrads „RESTREINT UE/EU RESTRICTED“ dürfen auch durch Postdienste oder private Kurierdienste befördert werden.

41.

Die Beförderung von Verschlusssachen des Geheimhaltungsgrads „TRÈS SECRET UE/EU TOP SECRET“ aus der Union in das Hoheitsgebiet eines Drittstaats erfolgt durch militärischen oder diplomatischen Kurier.

42.

Nicht mehr benötigte EU-Verschlusssachen können unbeschadet der einschlägigen Vorschriften und Regelungen über die Archivierung vernichtet werden.

43.

Registrierungspflichtige Dokumente nach Artikel 9 Absatz 2 werden von der zuständigen Registratur auf Anweisung des Besitzers oder einer zuständigen Behörde vernichtet. Die Dienstbücher und sonstigen Registrierungsinformationen werden entsprechend aktualisiert.

44.

Bei Dokumenten des Geheimhaltungsgrads „SECRET UE/EU SECRET“ oder „TRÈS SECRET UE/EU TOP SECRET“ erfolgt die Vernichtung im Beisein eines Zeugen, der mindestens zum Zugang zu Verschlusssachen mit dem Geheimhaltungsgrad des zu vernichtenden Dokuments ermächtigt ist.

45.

Der Registerführer und der Zeuge — falls dessen Anwesenheit erforderlich ist — unterschreiben eine Vernichtungsbescheinigung, die in der Registratur abgelegt wird. Die Registratur bewahrt die Vernichtungsbescheinigungen von Dokumenten des Geheimhaltungsgrads „TRÈS SECRET UE/EU TOP SECRET“ mindestens zehn Jahre lang und von Dokumenten der Geheimhaltungsgrade „CONFIDENTIEL UE/EU CONFIDENTIAL“ und „SECRET UE/EU SECRET“ mindestens fünf Jahre lang auf.

46.

Verschlusssachen, auch Verschlusssachen des Geheimhaltungsgrads „RESTREINT UE/EU RESTRICTED“, werden nach Verfahren vernichtet, die die einschlägigen Unionsnormen oder gleichwertige Normen erfüllen oder die gemäß nationalen technischen Normen von den Mitgliedstaaten zugelassen worden sind, damit so einer vollständigen oder teilweisen Wiederherstellung vorgebeugt wird.

47.

Die Vernichtung elektronischer Datenträger, die für EU-VS verwendet wurden, erfolgt gemäß Anhang IV Nummer 37.

48.

Wenn in Notfällen das unmittelbare Risiko einer unbefugten Weitergabe besteht, sind die EU-VS durch den Besitzer so zu vernichten, dass eine vollständige oder teilweise Wiederherstellung ausgeschlossen ist. Der Herausgeber und die herausgebende Registratur sind von der als Notfallmaßnahme durchgeführten Vernichtung der registrierten EU-VS in Kenntnis zu setzen.

49.

Der Ausdruck „Bewertungsbesuch“ bezeichnet im Folgenden

zur Evaluierung der Wirksamkeit der Maßnahmen, die zum Schutz von EU-VS getroffen wurden.

50.

Bewertungsbesuche werden unter anderem durchgeführt, um

51.

Der Rat stimmt vor Ablauf eines jeden Kalenderjahrs dem Programm für Bewertungsbesuche nach Artikel 16 Absatz 1 Buchstabe c für das Folgejahr zu. Der genaue Terminplan für die einzelnen Bewertungsbesuche wird im Benehmen mit den betreffenden Einrichtungen oder Agenturen der EU, Mitgliedstaaten, Drittstaaten oder internationalen Organisationen festgelegt.

52.

Es werden Bewertungsbesuche durchgeführt, um die einschlägigen Vorschriften, Regelungen und Verfahren der besuchten Stelle zu überprüfen und um nachzuprüfen, ob die Verfahrensweisen der Stelle den in diesem Beschluss festgelegten Grundprinzipien und Mindeststandards und den Bestimmungen für den Austausch von Verschlusssachen mit dieser Einrichtung entsprechen.

53.

Bewertungsbesuche werden in zwei Phasen durchgeführt. Vor dem eigentlichen Besuch findet gegebenenfalls mit der betreffenden Stelle eine Vorbereitungssitzung statt. Daraufhin erstellt das Bewertungsteam im Benehmen mit der betreffenden Stelle ein detailliertes Bewertungsbesuchsprogramm für alle Sicherheitsbereiche. Das Bewertungsteam sollte Zugang zu jedem Ort erhalten, an dem EU-VS bearbeitet werden, insbesondere Registraturen und Zugangspunkte (PoP) der Kommunikations- und Informationssysteme.

54.

Bewertungsbesuche bei den nationalen Verwaltungen der Mitgliedstaaten, in Drittstaaten und bei internationalen Organisationen werden in uneingeschränkter Zusammenarbeit mit den Bediensteten der besuchten Stelle bzw. des besuchten Drittstaates bzw. der besuchten internationalen Organisation durchgeführt.

55.

Bewertungsbesuche bei den Einrichtungen, Agenturen und sonstigen Stellen der EU, die diesen Beschluss oder die darin enthaltenen Grundsätze anwenden, werden mit Unterstützung von Experten der Nationalen Sicherheitsbehörde, in deren Gebiet Einrichtung oder Agentur ihren Sitz hat, durchgeführt.

56.

Im Falle von Bewertungsbesuchen bei Einrichtungen, Agenturen und Stellen der EU, die diesen Beschluss oder die darin enthaltenen Grundsätze anwenden, sowie in Drittstaaten und bei internationalen Organisationen kann im Einklang mit den vom Sicherheitsausschuss zu vereinbarenden ausführlichen Regelungen Unterstützung und Mitwirkung von Experten der Nationalen Sicherheitsbehörden angefordert werden.

57.

Am Ende der Bewertungsbesuche werden der besuchten Stelle die wichtigsten Schlussfolgerungen und Empfehlungen vorgelegt. Anschließend wird ein Bericht über den Bewertungsbesuch erstellt. Wurden Abhilfemaßnahmen und Empfehlungen vorgeschlagen, so muss der Bericht hinreichende Einzelheiten zur Untermauerung der erzielten Schlussfolgerungen enthalten. Der Bericht wird der zuständigen Behörde der besuchten Stelle übermittelt.

58.

Für Bewertungsbesuche in den nationalen Verwaltungen der Mitgliedstaaten gilt Folgendes:

Unter der Verantwortung der Sicherheitsbehörde des Generalsekretariats des Rates (Sicherheitsbüro) wird regelmäßig ein Bericht erstellt, in dem die Erfahrungswerte, die sich aus den während eines bestimmten Zeitraums in den Mitgliedstaaten durchgeführten Bewertungsbesuchen ergeben, dargelegt werden; dieser Bericht wird vom Sicherheitsausschuss geprüft.

59.

Bei Bewertungsbesuchen in Drittstaaten und bei internationalen Organisationen wird der Bericht an den Sicherheitsausschuss verteilt. Der Bericht wird zumindest in den Geheimhaltungsgrad „RESTREINT UE/EU RESTRICTED“ eingestuft. Etwaige Abhilfemaßnahmen werden bei einem Folgebesuch verifiziert und dem Sicherheitsausschuss gemeldet.

60.

Bei Bewertungsbesuchen von Einrichtungen, Agenturen und Stellen der EU, die diesen Beschluss oder die darin enthaltenen Grundsätze anwenden, werden die Berichte über Bewertungsbesuche an den Sicherheitsausschuss verteilt. Der Entwurf des Berichts über den Bewertungsbesuch wird der betreffenden Agentur oder Einrichtung übermittelt, damit diese überprüfen kann, ob er inhaltlich korrekt ist und keine Informationen enthält, die höher als „RESTREINT UE/EU RESTRICTED“ eingestuft sind. Etwaige Abhilfemaßnahmen werden bei einem Folgebesuch verifiziert und dem Sicherheitsausschuss gemeldet.

61.

Die Sicherheitsbehörde des Generalsekretariats des Rates führt regelmäßig Inspektionen in den Verwaltungseinheiten des Generalsekretariats des Rates für die unter Nummer 50 festgelegten Zwecke durch.

62.

Die Sicherheitsbehörde des Generalsekretariats des Rates (Sicherheitsbüro) erstellt eine Prüfliste für die bei einem Bewertungsbesuch zu überprüfenden Aspekte und aktualisiert diese Liste. Diese Prüfliste wird dem Sicherheitsausschuss übermittelt.

63.

Die Informationen zum Ausfüllen der Prüfliste werden insbesondere während des Besuchs vom Sicherheitsmanagement der inspizierten Stelle eingeholt. Nachdem sie mit den ausführlichen Antworten ausgefüllt wurde, wird die Prüfliste im Benehmen mit der inspizierten Stelle als Verschlusssache eingestuft. Sie ist nicht Teil des Inspektionsberichts.

1.

Dieser Anhang enthält Bestimmungen zur Anwendung von Artikel 10.

2.

Die folgenden Eigenschaften und Konzepte der Informationssicherung sind für die Sicherheit und die ordnungsgemäße Durchführung von Operationen in Kommunikations- und Informationssystemen unerlässlich:

3.

Die nachstehenden Bestimmungen sind Ausgangsbasis für die Sicherheit eines jeden Kommunikations- und Informationssystems, in dem EU-VS bearbeitet werden. Detaillierte Anforderungen zur Durchführung dieser Bestimmungen werden in Sicherheitskonzepten und Sicherheitsleitlinien für Informationssicherung festgelegt.

4.

Sicherheitsrisikomanagement ist ein integraler Bestandteil der Konzeption, der Entwicklung, des Betriebs und der Wartung von Kommunikations- und Informationssystemen. Das Risikomanagement (Bewertung, Behandlung, Akzeptanz und Kommunikation) wird als fortlaufender Prozess gemeinsam von Vertretern der Systemeigner, den für ein Projekt zuständigen Stellen, den für den Betrieb zuständigen Stellen und den Sicherheits-Zulassungsstellen durchgeführt; dabei wird ein bewährtes, transparentes und vollkommen verständliches Risikobewertungsverfahren durchgeführt. Der Umfang des Kommunikations- und Informationssystems und seine Werte müssen gleich zu Beginn des Risikomanagementprozesses klar umrissen sein.

5.

Die zuständigen Stellen müssen die potenziellen Bedrohungen für Kommunikations- und Informationssysteme überprüfen und über stets aktuelle und genaue Risikobewertungen entsprechend dem jeweiligen betrieblichen Umfeld verfügen. Sie halten ihre Kenntnisse über potenzielle Schwachstellen stets auf dem neuesten Stand und überprüfen regelmäßig die Bewertung der Schwachstellen, um den sich ändernden IT-Gegebenheiten Rechnung zu tragen.

6.

Das Ziel bei der Sicherheitsrisikobehandlung muss darin bestehen, ein Paket von Sicherheitsmaßnahmen anzuwenden, die zu einer zufriedenstellenden Ausgewogenheit zwischen den Anforderungen der Nutzer, den Kosten und dem Sicherheitsrestrisiko führen.

7.

Die spezifischen Anforderungen, der Maßstab und Grad der Detaillierung, die von der einschlägigen SAA zur Akkreditierung eines Kommunikations- und Informationssystems festgelegt werden, müssen dem festgestellten Risiko entsprechen; dabei ist allen relevanten Faktoren Rechnung zu tragen, darunter dem Geheimhaltungsgrad der EU-VS, die in dem Kommunikations- und Informationssystem bearbeitet werden. Zur Akkreditierung gehören eine förmliche Erklärung zum Restrisiko und die Akzeptanz des Restrisikos durch eine zuständige Stelle.

8.

Die Gewährleistung der Sicherheit ist während des gesamten Lebenszyklus eines Kommunikations- und Informationssystems ab der Einführung bis zur Außerbetriebstellung erforderlich.

9.

Die Rolle aller an einem Kommunikations- und Informationssystem Beteiligten und deren Interaktion hinsichtlich der Sicherheit des Systems werden für jede Phase des Lebenszyklus definiert.

10.

Jegliches Kommunikations- und Informationssystem einschließlich seiner technischen und nicht technischen Sicherheitsmaßnahmen wird während des Akkreditierungsverfahrens Sicherheitsprüfungen unterzogen, damit gewährleistet ist, dass das erforderliche Sicherheitsniveau erreicht wird, und geprüft wird, dass es korrekt implementiert, integriert und konfiguriert wird.

11.

Sicherheitsbewertungen, -inspektionen und -überprüfungen werden während des Betriebs eines Kommunikations- und Informationssystems und während Wartungsarbeiten in regelmäßigen Abständen sowie im Falle außergewöhnlicher Umstände durchgeführt.

12.

Die Sicherheitsdokumentation für ein Kommunikations- und Informationssystem wird während dessen Lebenszyklus weiterentwickelt als integraler Bestandteil des Prozesses eines Änderungs- und Konfigurationsmanagements.

13.

Das Generalsekretariat des Rates und die Mitgliedstaaten arbeiten zusammen, um optimale Vorgehensweisen für den Schutz von EU-VS, die in Kommunikations- und Informationssystemen bearbeitet werden, zu entwickeln. Leitlinien zu optimalen Vorgehensweisen enthalten Sicherheitsmaßnahmen in den Bereichen Technik, physischer Schutz, Organisation und Verfahren für Kommunikations- und Informationssysteme, deren Effizienz bei der Abwehr von Bedrohungen und der Behebung von Schwachstellen belegt ist.

14.

Für den Schutz von EU-VS, die in Kommunikations- und Informationssystemen bearbeitet werden, sind die Erfahrungen derjenigen Stellen innerhalb und außerhalb der Union, die im Bereich Informationssicherung tätig sind, heranzuziehen.

15.

Die Verbreitung und anschließende Anwendung optimaler Vorgehensweisen soll dazu beitragen, dass ein gleichwertiges Sicherheitsniveau für die verschiedenen, vom Generalsekretariat des Rates und von den Mitgliedstaaten betriebenen Kommunikations- und Informationssystemen erreicht wird, die EU-VS bearbeiten.

16.

Um das Risiko bei Kommunikations- und Informationssystemen zu verringern, wird eine Reihe von technischen und nicht technischen Sicherheitsmaßnahmen in Form eines mehrschichtigen Abwehrsystems durchgeführt. Dazu gehören

a)   Abschreckung: Sicherheitsmaßnahmen, mit denen darauf abgezielt wird, Gegner von einer Planung von Angriffen auf das Kommunikations- und Informationssystem abzuhalten;

b)   Prävention: Sicherheitsmaßnahmen, mit denen darauf abgezielt wird, einen Angriff auf das Kommunikations- und Informationssystem zu verhindern oder abzublocken;

c)   Erkennung: Sicherheitsmaßnahmen, mit denen darauf abgezielt wird, einen Angriff auf das Kommunikations- und Informationssystem zu erkennen;

d)   Widerstandsfähigkeit: Sicherheitsmaßnahmen, mit denen darauf abgezielt wird, die Auswirkungen eines Angriffs auf möglichst wenige Informationen oder Werte des Kommunikations- und Informationssystemen zu begrenzen und weiteren Schaden zu verhindern, und

e)   Wiederherstellung: Sicherheitsmaßnahmen, mit denen darauf abgezielt wird, für das Kommunikations- und Informationssystem eine Situation der Sicherheit wiederherzustellen.

Wie streng diese Sicherheitsmaßnahmen zu sein haben, wird durch eine Risikobewertung bestimmt.

17.

Die Nationale Sicherheitsbehörde oder eine andere zuständige Behörde trägt dafür Sorge, dass

18.

Nur die für die operativen Anforderungen unbedingt notwendigen Funktionen, Geräte und Dienste werden implementiert, damit unnötige Risiken vermieden werden.

19.

Nutzer von Kommunikations- und Informationssystemen und automatisierten Verfahrensabläufen erhalten nur den Zugang, die Berechtigung oder die Genehmigungen, die für die Erfüllung ihrer Aufgaben erforderlich sind, damit der Schaden, der durch Zwischenfälle, Fehler oder die unbefugte Nutzung von Ressourcen des Kommunikations- und Informationssystems entstehen kann, begrenzt wird.

20.

Die von einem Kommunikations- und Informationssystem durchgeführten Registrierungsverfahren werden, soweit erforderlich, als Teil des Akkreditierungsverfahrens überprüft.

21.

Sensibilisierung für die Risiken und die zur Verfügung stehenden Sicherheitsmaßnahmen ist die erste Verteidigungslinie in Bezug auf die Sicherheit von Kommunikations- und Informationssystemen. Insbesondere sollte sich das gesamte Personal, das mit einem Kommunikations- und Informationssystem während dessen Lebenszyklus befasst ist, einschließlich der Nutzer, über Folgendes bewusst sein:

22.

Damit sichergestellt ist, dass die Verantwortlichkeiten für die Sicherheit bekannt sind, müssen Schulung und Sensibilisierung in Bezug auf Informationssicherung für das gesamte beteiligte Personal, einschließlich des Führungspersonals, und die Nutzer von Kommunikations- und Informationssystemen obligatorisch sein.

23.

Das erforderliche Maß an Vertrauen in die Sicherheitsmaßnahmen, das als Niveau der Vertrauenswürdigkeit definiert wird, wird aufgrund der Ergebnisse des Risikomanagementprozesses und entsprechend den einschlägigen Sicherheitskonzepten und Sicherheitsleitlinien bestimmt.

24.

Das Vertrauenswürdigkeitsniveau wird geprüft, indem international anerkannte oder national genehmigte Verfahren und Methoden angewandt werden. Dazu gehören in erster Linie Evaluierung, Kontrollen und Betriebsanalysen.

25.

Kryptografische Produkte zum Schutz von EU-VS werden von einer nationalen Krypto-Zulassungsstelle (CAA) eines Mitgliedstaats evaluiert und zugelassen.

26.

Bevor kryptografische Produkte dem Rat oder dem Generalsekretär gemäß Artikel 10 Absatz 6 zur Zulassung empfohlen werden, müssen sie eine Zweitevaluierung durch eine entsprechend qualifizierte Behörde (Appropriately Qualified Authority, AQUA) eines Mitgliedstaats, die nicht an der Konzeption oder Herstellung der Ausrüstung beteiligt ist, erfolgreich durchlaufen. Wie detailliert bei einer Zweitevaluierung zu prüfen ist, hängt von dem angestrebten höchsten Geheimhaltungsgrad der EU-VS ab, die mit diesen Produkten geschützt werden sollen. Der Rat billigt ein Sicherheitskonzept in Bezug auf die Evaluierung und Zulassung von kryptografischen Produkten.

27.

Wenn dies aus spezifischen operativen Gründen gerechtfertigt ist, kann der Rat oder gegebenenfalls der Generalsekretär auf Empfehlung des Sicherheitsausschusses auf die Anforderungen nach Nummer 25 oder 26 dieses Anhangs verzichten und eine vorläufige Zulassung für einen spezifischen Zeitraum gemäß dem Verfahren nach Artikel 10 Absatz 6 erteilen.

28.

Der Rat kann auf Empfehlung des Sicherheitsausschusses den Bewertungs-, Auswahl- und Zulassungsprozess eines Drittstaats oder einer internationalen Organisation für kryptografische Produkte anerkennen und dementsprechend diese kryptografischen Produkte als für den Schutz von an den betreffenden Drittstaat oder die betreffende internationale Organisation weitergegebenen EU-VS zugelassen ansehen.

29.

Eine AQUA ist eine Krypto-Zulassungsstelle (CAA) eines Mitgliedstaats, die auf der Grundlage von vom Rat festgelegter Kriterien akkreditiert wurde, die Zweitevaluierung von kryptografischen Produkten zum Schutz von EU-VS vorzunehmen.

30.

Der Rat billigt ein Sicherheitskonzept in Bezug auf die Eignung und Zulassung von nichtkryptografischen IT-Sicherheitsprodukten.

31.

Ungeachtet der Bestimmungen dieses Beschlusses kann, wenn EU-VS innerhalb abgesicherter Bereiche oder Verwaltungsbereiche übermittelt werden, eine nicht verschlüsselte Übermittlung oder eine Verschlüsselung auf einer niedrigeren Stufe unter Zugrundelegung der Ergebnisse eines Risikomanagementprozesses und vorbehaltlich der Zustimmung der SAA erfolgen.

32.

Im Sinne dieses Beschlusses ist eine Systemzusammenschaltung die direkte Verbindung von zwei oder mehr IT-Systemen für die gemeinsame Nutzung von Daten und anderen Informationsressourcen (beispielsweise Kommunikation); die Verbindung kann unidirektional oder multidirektional sein.

33.

Ein Kommunikations- und Informationssystem muss jedes angeschlossene IT-System zunächst als nicht vertrauenswürdig behandeln und Schutzmaßnahmen durchführen, um den Austausch von Verschlusssachen zu kontrollieren.

34.

Bei der Zusammenschaltung eines Kommunikations- und Informationssystems mit einem anderen IT-System müssen stets die folgenden grundlegenden Anforderungen erfüllt sein:

35.

Es darf keine Zusammenschaltung zwischen einem akkreditierten Kommunikations- und Informationssystem und einem ungeschützten oder öffentlichen Netz geben, außer wenn das Kommunikations- und Informationssystem über zugelassene Dienste für den Schutz von Systemübergängen verfügt, die zu diesem Zweck zwischen dem Kommunikations- und Informationssystem und dem ungeschützten oder öffentlichen Netz installiert wurden. Die Sicherheitsmaßnahmen für eine derartige Zusammenschaltung werden von der zuständigen Stelle für Informationssicherung überprüft und von der zuständigen SAA genehmigt.

Wenn das ungeschützte oder öffentliche Netz lediglich als Träger verwendet wird und die Daten durch ein gemäß Artikel 10 zugelassenes kryptografisches Produkt verschlüsselt werden, gilt eine derartige Verbindung nicht als Zusammenschaltung.

36.

Die direkte oder kaskadierte Zusammenschaltung eines Kommunikations- und Informationssystems, das für die Bearbeitung von Verschlusssachen des Geheimhaltungsgrads „TRÈS SECRET UE/EU TOP SECRET“ akkreditiert ist, mit einem ungeschützten oder öffentlichen Netz ist untersagt.

37.

Die Vernichtung elektronischer Datenträger erfolgt nach Verfahren, die von der zuständigen Sicherheitsbehörde genehmigt wurden.

38.

Elektronische Datenträger werden nach gemäß Artikel 6 Absatz 2 festzulegenden Sicherheitsleitlinien wiederverwendet, herabgestuft oder freigegeben.

39.

Unbeschadet der Bestimmungen dieses Beschlusses können in einer Notsituation wie beispielsweise drohenden oder bereits eingetretenen Krisen, Konflikten, Kriegssituationen oder im Fall besonderer operativer Umstände die nachstehend beschriebenen besonderen Verfahren angewandt werden.

40.

EU-VS können mit Hilfe kryptografischer Produkte, die für einen niedrigeren Geheimhaltungsgrad zugelassen sind, oder mit Zustimmung der zuständigen Behörde unverschlüsselt übermittelt werden, wenn eine Verzögerung einen Schaden verursachen würde, der deutlich größer wäre als der Schaden, der durch eine Preisgabe des als Verschlusssache eingestuften Materials entstehen würde, und wenn

41.

Verschlusssachen, die unter den unter Nummer 39 erläuterten Umständen übermittelt werden, sind nicht mit Kennzeichnungen oder Angaben zu versehen, die sie von nicht als Verschlusssache eingestuften Informationen oder solchen unterscheiden, die mit einem zur Verfügung stehenden kryptografischen Produkt geschützt werden können. Die Empfänger werden auf anderem Weg unverzüglich über den Geheimhaltungsgrad unterrichtet.

42.

Wird gemäß Nummer 39 vorgegangen, ist der zuständigen Behörde und dem Sicherheitsausschuss anschließend Bericht zu erstatten.

43.

In den Mitgliedstaaten und beim Generalsekretariat des Rates werden die nachstehenden Funktionen für Informationssicherung geschaffen. Hierfür sind keine zentralen organisatorischen Einheiten erforderlich. Für die einzelnen Funktionen werden gesonderte Mandate erteilt. Diese Funktionen und die damit einhergehenden Verantwortlichkeiten können jedoch zusammengefasst oder der gleichen organisatorischen Einheit zugewiesen oder auf verschiedene organisatorische Einheiten aufgeteilt werden, sofern interne Interessen- oder Aufgabenkonflikte vermieden werden.

44.

Die Stelle für Informationssicherung (IAA) ist für Folgendes zuständig:

45.

Die TEMPEST-Stelle (TA) hat sicherzustellen, dass die Kommunikations- und Informationssysteme den TEMPEST-Konzepten und -Leitlinien entsprechen. Sie genehmigt TEMPEST-Schutzmaßnahmen für Installationen und Produkte, damit EU-VS bis zu einem bestimmten Geheimhaltungsgrad in dem betreffenden Betriebsumfeld geschützt sind.

46.

Die Krypto-Zulassungsstelle (CAA) hat sicherzustellen, dass kryptografische Produkte den nationalen Kryptografiekonzepten bzw. dem Kryptografiekonzept des Rates entsprechen. Sie erteilt für ein kryptografisches Produkt die Zulassung, EU-VS bis zu einem bestimmten Geheimhaltungsgrad in dem betreffenden Betriebsumfeld zu schützen. Was die Mitgliedstaaten anbelangt, so ist die CAA ferner dafür zuständig, kryptografische Produkte zu evaluieren.

47.

Die Krypto-Verteilungsstelle (CDA) ist für Folgendes zuständig:

48.

Die Sicherheits-Akkreditierungsstelle (SAA) für das jeweilige System ist für Folgendes zuständig:

49.

Die SAA des Generalsekretariats des Rates ist für die Akkreditierung aller Kommunikations- und Informationssysteme zuständig, die im Zuständigkeitsbereich des Generalsekretariats des Rates betrieben werden.

50.

Die einschlägige SAA eines Mitgliedstaats ist für die Akkreditierung von Kommunikations- und Informationssystemen und deren Komponenten zuständig, die im Zuständigkeitsbereich eines Mitgliedstaats betrieben werden.

51.

Wenn Kommunikations- und Informationssysteme in die Zuständigkeit sowohl der SAA des Generalsekretariats des Rates als auch der SAA der Mitgliedstaaten fallen, so nimmt ein gemeinsames Sicherheits-Akkreditierungsgremium (Security Accreditation Board, SAB) die Akkreditierung des betreffenden Systems vor. Es setzt sich aus einem SAA-Vertreter jedes Mitgliedstaats zusammen, und ein SAA-Vertreter der Kommission nimmt an den Sitzungen teil. Andere Stellen, die an ein Kommunikations- und Informationssystem angeschlossen sind, werden zu Beratungen über das betreffende System eingeladen.

Den Vorsitz des SAB führt ein Vertreter der SAA des Generalsekretariats des Rates. Im SAB beschließen die SAA-Vertreter der Organe, Mitgliedstaaten und sonstigen Stellen, die an das Kommunikations- und Informationssystem angeschlossen sind, einvernehmlich. Das SAB erstellt für den Sicherheitsausschuss regelmäßig Berichte über seine Tätigkeit und übermittelt ihm alle Akkreditierungserklärungen.

52.

Die für den Betrieb des jeweiligen Systems zuständige Stelle für Informationssicherung ist für Folgendes zuständig:

1.

Dieser Anhang enthält Bestimmungen zur Anwendung von Artikel 11. Er legt allgemeine Sicherheitsvorschriften für industrielle oder andere Unternehmen fest, die während der Verhandlungen vor der Auftragsvergabe und während der Laufzeit von vom Rat vergebenen und als Verschlusssache eingestuften Aufträgen gelten.

2.

Der Rat billigt Leitlinien für den Geheimschutz in der Wirtschaft, mit denen insbesondere ausführliche Anforderungen in Bezug auf Sicherheitsbescheide für Unternehmen (FSC), Geheimschutzklauseln (SAL), Besuche sowie die Übermittlung und Beförderung von EU-VS aufgestellt werden.

3.

Vor der Ausschreibung oder der Vergabe eines als Verschlusssache eingestuften Auftrags bestimmt das Generalsekretariat des Rates als Vergabebehörde den Geheimhaltungsgrad für Informationen, die Bietern oder Auftragnehmern zur Verfügung gestellt werden, sowie den Geheimhaltungsgrad für Informationen, die vom Auftragnehmer herauszugeben sind. Zu diesem Zweck erstellt das Generalsekretariat des Rates die bei der Ausführung des Auftrags zu verwendende VS-Einstufungsliste (Security Classification Guide, SCG).

4.

Für die Bestimmung des Geheimhaltungsgrads der verschiedenen Bestandteile eines als Verschlusssache eingestuften Auftrags gelten die folgenden Grundsätze:

5.

Die auftragsspezifischen Sicherheitsanforderungen werden in einer Geheimschutzklausel (Security Aspects Letter, SAL) beschrieben. Die Geheimschutzklausel enthält gegebenenfalls die VS-Einstufungsliste (SCG) und ist fester Bestandteil eines als Verschlusssache eingestuften Auftrags oder Subauftrags.

6.

Die Geheimschutzklausel enthält die Bestimmungen, mit denen der Auftragnehmer und/oder Subauftragnehmer verpflichtet wird, die Mindeststandards dieses Beschlusses einzuhalten. Die Nichteinhaltung dieser Mindeststandards kann einen ausreichenden Grund dafür darstellen, dass der Auftrag gekündigt wird.

7.

Abhängig vom Umfang von Programmen oder Projekten, die mit dem Zugang zu oder der Bearbeitung oder Aufbewahrung von EU-VS verbunden sind, kann eine spezifische PSI von der mit der Verwaltung des Programms oder Projekts beauftragten Vergabebehörde ausgearbeitet werden. Die Sicherheitsanweisung bedarf der Genehmigung durch die Nationalen Sicherheitsbehörden/Beauftragten Sicherheitsbehörden der Mitgliedstaaten oder durch eine andere zuständige Sicherheitsbehörde, die an dem Programm/Projekt beteiligt ist, und kann zusätzliche Sicherheitserfordernisse beinhalten.

8.

Ein Sicherheitsbescheid für Unternehmen wird von der Nationalen Sicherheitsbehörde oder der Beauftragten Sicherheitsbehörde oder einer anderen zuständigen Behörde eines Mitgliedstaats ausgestellt und gibt gemäß den innerstaatlichen Rechtsvorschriften Auskunft darüber, dass ein industrielles oder anderes Unternehmen in der Lage ist, EU-VS bis zu dem entsprechenden Geheimhaltungsgrad („CONFIDENTIEL UE/EU CONFIDENTIAL“ oder „SECRET UE/EU SECRET“) in seinen Anlagen zu schützen. Der Bescheid ist dem Generalsekretariat des Rates als der Vergabebehörde vorzulegen, bevor einem Auftragnehmer oder Subauftragnehmer bzw. einem möglichen Auftragnehmer oder Subauftragnehmer EU-VS zur Verfügung gestellt werden können oder ihm Zugang zu diesen gewährt werden kann.

9.

Bei der Erteilung eines Sicherheitsbescheids für Unternehmen hat die zuständige Nationale Sicherheitsbehörde oder Beauftragte Sicherheitsbehörde zumindest Folgendes zu beachten:

10.

Das Generalsekretariat des Rates als Vergabebehörde teilt der zuständigen Nationalen Sicherheitsbehörde/Beauftragten Sicherheitsbehörde oder einer anderen zuständigen Sicherheitsbehörde gegebenenfalls mit, dass ein Sicherheitsbescheid für Unternehmen in der Phase vor der Auftragsvergabe oder für die Ausführung des Auftrags erforderlich ist. Ein Sicherheitsbescheid für Unternehmen oder eine Sicherheitsermächtigung ist in der Phase vor der Auftragsvergabe erforderlich, wenn EU-VS mit dem Geheimhaltungsgrad „CONFIDENTIEL UE/EU CONFIDENTIAL“ oder „SECRET UE/EU SECRET“ während des Bietverfahrens zur Verfügung gestellt werden müssen.

11.

Die Vergabebehörde vergibt keinen als Verschlusssache eingestuften Auftrag an einen bevorzugten Bieter, bevor sie von der Nationalen Sicherheitsbehörde/Beauftragten Sicherheitsbehörde oder einer anderen zuständigen Sicherheitsbehörde des Mitgliedstaats, in dem der betreffende Auftragnehmer oder Subauftragnehmer eingetragen ist, die Bestätigung erhalten hat, dass erforderlichenfalls ein entsprechender Sicherheitsbescheid für das Unternehmen erteilt wurde.

12.

Die Nationale Sicherheitsbehörde/Beauftragte Sicherheitsbehörde oder eine sonstige zuständige Sicherheitsbehörde, die einen Sicherheitsbescheid erteilt hat, teilt dem Generalsekretariat des Rates als Vergabebehörde alle Änderungen mit, die diesen Sicherheitsbescheid betreffen. Bei Subaufträgen ist die Nationale Sicherheitsbehörde/Beauftragte Sicherheitsbehörde oder eine sonstige zuständige Sicherheitsbehörde entsprechend zu informieren.

13.

Die Aufhebung eines Sicherheitsbescheids für Unternehmen durch die jeweilige Nationale Sicherheitsbehörde/Beauftragte Sicherheitsbehörde oder eine sonstige zuständige Sicherheitsbehörde stellt für das Generalsekretariat des Rates als Vergabebehörde einen ausreichenden Grund dar, den als Verschlusssache eingestuften Auftrag zu kündigen oder einen Bieter vom Vergabeverfahren auszuschließen.

14.

Werden EU-VS einem Bieter in der Phase vor der Auftragsvergabe zur Verfügung gestellt, so enthält die Aufforderung zur Angebotsabgabe eine Geheimschutzklausel, wonach ein Bieter, der kein Angebot abgibt oder der nicht ausgewählt wird, verpflichtet ist, alle Unterlagen innerhalb einer vorgegebenen Frist zurückzugeben.

15.

Sobald der Zuschlag für einen als Verschlusssache eingestuften Auftrag oder Subauftrag erteilt wurde, teilt das Generalsekretariat des Rates als Vergabebehörde der Nationalen Sicherheitsbehörde/Beauftragten Sicherheitsbehörde des Auftragnehmers oder Subauftragnehmers oder einer sonstigen zuständigen Sicherheitsbehörde die Sicherheitsvorschriften für den als Verschlusssache eingestuften Auftrag mit.

16.

Werden diese Aufträge gekündigt, so informiert das Generalsekretariat des Rates als Vergabebehörde (und/oder gegebenenfalls die Nationale Sicherheitsbehörde/Beauftragte Sicherheitsbehörde oder eine sonstige zuständige Sicherheitsbehörde bei Subaufträgen) unverzüglich die Nationale Sicherheitsbehörde/Beauftrage Sicherheitsbehörde oder eine sonstige zuständige Sicherheitsbehörde des Mitgliedstaats, in dem der Auftragnehmer oder Subauftragnehmer eingetragen ist.

17.

Generell ist der Auftragnehmer oder Subauftragnehmer verpflichtet, bei der Kündigung eines als Verschlusssache eingestuften Auftrags oder Subauftrags in seinem Besitz befindliche EU-VS an die Vergabebehörde zurückzugeben.

18.

Die besonderen Bestimmungen für die Vernichtung von EU-VS während der Ausführung des Auftrags oder bei dessen Kündigung werden in der Geheimschutzklausel festgelegt.

19.

Wird dem Auftragnehmer oder Subauftragnehmer gestattet, EU-VS nach der Kündigung eines Auftrags zu behalten, so müssen die in diesem Beschluss niedergelegten Mindeststandards weiterhin eingehalten und die Geheimhaltung von EU-VS von dem Auftragnehmer oder Subauftragnehmer geschützt werden.

20.

Die Bedingungen, zu denen der Auftragnehmer Subaufträge vergeben darf, sind in der Ausschreibung und im Auftrag festgelegt.

21.

Der Auftragnehmer holt die Erlaubnis des Generalsekretariats des Rates als Vergabebehörde ein, bevor er für Teile eines als Verschlusssache eingestuften Auftrags Subaufträge vergibt. Subaufträge können nicht an industrielle oder andere Unternehmen vergeben werden, die in einem Nicht-EU-Mitgliedstaat eingetragen sind, der mit der Union kein Geheimschutzabkommen geschlossen hat.

22.

Der Auftragnehmer ist dafür verantwortlich, sicherzustellen, dass alle im Rahmen von Unteraufträgen vergebenen Tätigkeiten im Einklang mit den Mindeststandards dieses Beschlusses ausgeführt werden; er stellt einem Subauftragnehmer EU-VS nicht ohne die vorherige schriftliche Einwilligung der Vergabebehörde zur Verfügung.

23.

Für EU-VS, die von einem Auftragnehmer oder Subauftragnehmer herausgegeben oder bearbeitet werden, werden die dem Herausgeber obliegenden Rechte von der Vergabebehörde ausgeübt.

24.

Benötigt Personal des Generalsekretariats des Rates, der Auftragnehmer oder der Subauftragnehmer zur Ausführung eines als Verschlusssache eingestuften Auftrags Zugang zu Informationen des Geheimhaltungsgrads „CONFIDENTIEL UE/EU CONFIDENTIAL“ oder „SECRET UE/EU SECRET“ in den Räumlichkeiten des jeweils anderen, werden im Benehmen mit der jeweiligen Nationalen Sicherheitsbehörde/Beauftragten Sicherheitsbehörde oder einer sonstigen zuständigen Sicherheitsbehörde Besuche vereinbart. Im Zusammenhang mit speziellen Projekten können die Nationalen Sicherheitsbehörden/Beauftragten Sicherheitsbehörden jedoch ein Verfahren vereinbaren, nach dem Besuche unmittelbar verabredet werden können.

25.

Alle Besucher müssen über eine entsprechende VS-Ermächtigung verfügen und im Hinblick auf den Zugang zu EU-VS in Verbindung mit dem Auftrag des Generalsekretariats des Rates dem Erfordernis „Kenntnis nur, wenn nötig“ genügen.

26.

Die Besucher erhalten nur Zugang zu EU-VS, die mit dem Zweck des Besuchs in Beziehung stehen.

27.

Für die Übermittlung von EU-VS auf elektronischem Wege gelten die einschlägigen Bestimmungen des Artikels 10 und des Anhangs IV.

28.

Für die Beförderung von EU-VS gelten die einschlägigen Bestimmungen des Anhangs III im Einklang mit den innerstaatlichen Rechtsvorschriften.

29.

Für die Beförderung von Verschlusssachen als Fracht gelten folgende Grundsätze bei der Festlegung der Sicherheitsvorkehrungen:

30.

EU-VS werden an Auftragnehmer und Subauftragnehmer in Drittstaaten nach Maßgabe der Geheimschutzmaßnahmen weitergegeben, die zwischen dem Generalsekretariat des Rates als Vergabebehörde und der Nationalen Sicherheitsbehörde/Beauftragten Sicherheitsbehörde des betreffenden Drittstaats, in dem der Auftragnehmer eingetragen ist, vereinbart wurden.

31.

Gegebenenfalls im Benehmen mit der Nationalen Sicherheitsbehörde/Beauftragten Sicherheitsbehörde des Mitgliedstaats ist das Generalsekretariat des Rates als Vergabebehörde berechtigt, Inspektionen der Anlagen von Auftragnehmern/Subauftragnehmern auf der Grundlage vertraglicher Bestimmungen durchzuführen, um zu überprüfen, dass die nach dem Vertrag erforderlichen einschlägigen Geheimschutzmaßnahmen zum Schutz von EU-VS des Geheimhaltungsgrads „RESTREINT UE/EU RESTRICTED“ getroffen wurden.

32.

Soweit dies nach den innerstaatlichen Rechtsvorschriften erforderlich ist, werden die Nationalen Sicherheitsbehörden/Beauftragten Sicherheitsbehörden oder eine andere zuständige Sicherheitsbehörde vom Generalsekretariat des Rates als Vergabebehörde über Aufträge oder Subaufträge, die als „RESTREINT UE/EU RESTRICTED“ eingestufte Informationen enthalten, unterrichtet.

33.

Bei Aufträgen des Generalsekretariats des Rates mit Informationen des Geheimhaltungsgrads „RESTREINT UE/EU RESTRICTED“ ist ein Sicherheitsbescheid für Unternehmen oder eine Sicherheitsermächtigung für Auftragnehmer und Subauftragnehmer und deren Personal nicht erforderlich.

34.

Das Generalsekretariat des Rates als Vergabebehörde prüft die Antworten auf Ausschreibungen bei Aufträgen, die Zugang zu Informationen des Geheimhaltungsgrads „RESTREINT EU/EU RESTRICTED“ erfordern, ungeachtet etwaiger Anforderungen in Bezug auf einen Sicherheitsbescheid für Unternehmen oder eine Sicherheitsermächtigung, die nach Maßgabe der innerstaatlichen Rechtsvorschriften gegebenenfalls bestehen.

35.

Die Bedingungen für die Vergabe von Subaufträgen durch den Auftragnehmer stehen im Einklang mit Nummer 21.

36.

Ist mit einem Auftrag die Bearbeitung von Verschlusssachen des Geheimhaltungsgrads „RESTREINT UE/EU RESTRICTED“ in einem Kommunikations- und Informationssystem verbunden, das vom Auftragnehmer betrieben wird, so stellt das Generalsekretariat des Rates als Vergabebehörde sicher, dass in dem Auftrag und etwaigen Subaufträgen die notwendigen technischen und organisatorischen Anforderungen in Bezug auf die Akkreditierung des Kommunikations- und Informationssystems angegeben werden, die dem festgestellten Risiko entsprechen, wobei allen relevanten Faktoren Rechnung zu tragen ist. Der Umfang der Akkreditierung eines solchen Kommunikations- und Informationssystems ist von der Vergabebehörde mit der betreffenden Nationalen Sicherheitsbehörde/Beauftragten Sicherheitsbehörde zu vereinbaren.

1.

Dieser Anhang enthält Bestimmungen zur Anwendung von Artikel 13.

2.

Wenn der Rat feststellt, dass über einen längeren Zeitraum Verschlusssachen ausgetauscht werden müssen, wird

gemäß Artikel 13 Absatz 2 und den Abschnitten III und IV und auf der Grundlage einer Empfehlung des Sicherheitsausschusses geschlossen.

3.

Werden EU-VS, die für die Zwecke einer GSVP-Operation erstellt wurden, Drittstaaten oder internationalen Organisationen, die an dieser Operation teilnehmen, zur Verfügung gestellt, ohne dass eine Vereinbarung im Sinne der Nummer 2 besteht, so richtet sich der Austausch von EU-VS mit dem beteiligten Drittstaat oder der beteiligten internationalen Organisation nach Maßgabe des Abschnitts V nach

4.

Besteht keine Vereinbarung im Sinne der Nummern 2 und 3 und wird beschlossen, EU-VS an einen Drittstaat oder eine internationale Organisation ausnahmsweise auf Ad-hoc-Basis gemäß Abschnitt VI weiterzugeben, so wird der betreffende Drittstaat bzw. die betreffende internationale Organisation um schriftliche Zusagen ersucht, um sicherzustellen, dass EU-VS, die an den Drittstaat/die internationale Organisation weitergegeben werden, im Einklang mit den in diesem Beschluss festgelegten Grundprinzipien und Mindeststandards geschützt werden.

5.

In Geheimschutzabkommen werden die Grundprinzipien und Mindeststandards für den Austausch von Verschlusssachen zwischen der Union und einem Drittstaat oder einer internationalen Organisation niedergelegt.

6.

In Geheimschutzabkommen werden die technischen Durchführungsbestimmungen geregelt, die zwischen den zuständigen Sicherheitsbehörden der betreffenden Organe und Einrichtungen der Union und der zuständigen Sicherheitsbehörde des betreffenden Drittstaats bzw. der betreffenden internationalen Organisation zu vereinbaren sind. In den Durchführungsvereinbarungen ist das Schutzniveau, das die in dem betreffenden Drittstaat oder bei der betreffenden internationalen Organisation bestehenden Sicherheitsvorschriften, -strukturen und -verfahren gewährleisten, zu berücksichtigen. Sie werden vom Sicherheitsausschuss gebilligt.

7.

EU-VS werden im Rahmen eines Geheimschutzabkommens nicht auf elektronischem Wege ausgetauscht, es sei denn, dies ist in dem Abkommen und/oder den entsprechenden technischen Durchführungsvereinbarungen ausdrücklich vorgesehen.

8.

Schließt der Rat ein Geheimschutzabkommen mit Dritten, so wird bei jeder Vertragspartei eine Registratur als Haupteingangs- bzw. -ausgangsstelle für den Austausch von Verschlusssachen bestimmt.

9.

Zur Bewertung der Wirksamkeit der Sicherheitsvorschriften, -strukturen und -verfahren des betreffenden Drittstaats bzw. der betreffenden internationalen Organisation werden im gegenseitigen Einvernehmen mit dem betreffenden Drittstaat bzw. der betreffenden internationalen Organisation Bewertungsbesuche durchgeführt. Diese Bewertungsbesuche werden gemäß den einschlägigen Bestimmungen des Anhangs III durchgeführt; dabei wird Folgendes bewertet:

10.

Das Team, das Bewertungsbesuche im Namen der Union durchführt, bewertet die Frage, ob die Sicherheitsregelungen und -verfahren in dem betreffenden Drittstaat oder in der betreffenden internationalen Organisation für den Schutz von EU-VS einer bestimmten Geheimhaltungsstufe angemessen sind.

11.

Die Ergebnisse dieser Besuche werden in einem Bericht festgehalten, auf dessen Grundlage der Sicherheitsausschuss festlegt, welches der höchste Geheimhaltungsgrad ist, bis zu dem EU-VS in Papierform und gegebenenfalls elektronisch mit dem betreffenden Dritten ausgetauscht werden dürfen, und welche speziellen Voraussetzungen hierfür gelten.

12.

Es müssen alle Anstrengungen unternommen werden, die Besuche zur umfassenden Bewertung der Sicherheit in dem betreffenden Drittstaat oder bei der betreffenden internationalen Organisation vor Billigung der Durchführungsvereinbarungen durch den Sicherheitsausschuss durchzuführen, damit Art und Wirksamkeit des bestehenden Sicherheitssystems festgestellt werden können. Ist dies nicht möglich, erhält der Sicherheitsausschuss jedoch einen möglichst umfassenden Bericht des Sicherheitsbüros des Generalsekretariats des Rates auf der Grundlage der dem Büro vorliegenden Informationen, mit dem der Sicherheitsausschuss darüber unterrichtet wird, welche Sicherheitsvorschriften in dem betreffenden Drittstaat oder bei der betreffenden internationalen Organisation gelten und wie dort die Organisation der Sicherheit gehandhabt wird.

13.

Der Bericht über den Bewertungsbesuch oder der Bericht nach Nummer 12, falls ein Bericht über den Bewertungsbesuch nicht vorliegt, muss dem Sicherheitsausschuss zugeleitet und von diesem als zufriedenstellend bewertet werden, bevor die EU-VS tatsächlich an den betreffenden Drittstaat oder die betreffende internationale Organisation weitergegeben werden.

14.

Die zuständigen Sicherheitsbehörden der Organe und Einrichtungen der Union teilen dem betreffenden Drittstaat oder der betreffenden internationalen Organisation den Zeitpunkt, ab dem die Union in der Lage ist, EU-VS im Rahmen des Abkommens weiterzugeben, sowie den höchsten Geheimhaltungsgrad mit, bis zu dem EU-VS in Papierform oder elektronisch ausgetauscht werden dürfen.

15.

Erforderlichenfalls werden Folgebesuche zu den Bewertungsbesuchen durchgeführt, insbesondere wenn

16.

Sobald das Geheimschutzabkommen in Kraft getreten ist und Verschlusssachen mit dem betreffenden Drittstaat oder der betreffenden internationalen Organisation ausgetauscht werden, kann der Sicherheitsausschuss insbesondere im Lichte der weiteren Bewertungsbesuche beschließen, den höchsten Geheimhaltungsgrad, bis zu dem EU-VS in Papierform oder elektronisch ausgetauscht werden dürfen, zu ändern.

17.

Wenn langfristig die Notwendigkeit besteht, mit einem Drittstaat oder einer internationalen Organisation Verschlusssachen, die in der Regel höchstens in den Geheimhaltungsgrad „RESTREINT UE/EU RESTRICTED“ eingestuft sind, auszutauschen, und wenn der Sicherheitsausschuss festgestellt hat, dass die betreffende Vertragspartei nicht über ein ausreichend entwickeltes Sicherheitssystem verfügt, um ein Geheimschutzabkommen abschließen zu können, kann der Generalsekretär vorbehaltlich der Zustimmung des Rates im Namen des Generalsekretariats des Rates eine Verwaltungsvereinbarung mit den zuständigen Stellen des betreffenden Drittstaats oder mit der betreffenden internationalen Organisation schließen.

18.

Wenn aus dringenden operativen Gründen rasch ein rechtlicher Rahmen für den Austausch von Verschlusssachen geschaffen werden muss, kann der Rat ausnahmsweise beschließen, dass eine Verwaltungsvereinbarung für den Austausch von Informationen eines höheren Geheimhaltungsgrads geschlossen wird.

19.

Verwaltungsvereinbarungen werden in der Regel in Form eines Briefwechsels geschlossen.

20.

Es wird ein Bewertungsbesuch gemäß Nummer 9 durchgeführt und der Bericht oder der Bericht nach Nummer 12, falls ein Bericht über den Bewertungsbesuch nicht vorliegt, dem Sicherheitsausschuss zugeleitet, der den Bericht als zufriedenstellend bewerten muss, bevor die EU-VS tatsächlich an den betreffenden Drittstaat oder die betreffende internationale Organisation weitergegeben werden.

21.

EU-VS werden nicht im Rahmen einer Verwaltungsvereinbarung auf elektronischem Wege ausgetauscht, es sei denn, dies ist in der Vereinbarung ausdrücklich vorgesehen.

22.

Die Beteiligung von Drittstaaten oder internationalen Organisationen an GSVP-Operationen wird in Rahmenabkommen über die Beteiligung geregelt. Diese Abkommen enthalten Bestimmungen über die Weitergabe von für die Zwecke der GSVP-Operationen erstellten EU-VS an die beteiligten Drittstaaten oder internationalen Organisationen. Der höchstzulässige Geheimhaltungsgrad von EU-VS, die ausgetauscht werden können, ist der Geheimhaltungsgrad „RESTREINT UE/EU RESTRICTED“ für zivile GSVP-Operationen und „CONFIDENTIEL UE/EU CONFIDENTIAL“ für militärische GSVP-Operationen, es sei denn, dass im Beschluss zur Einrichtung der jeweiligen GSVP-Operation etwas anderes festgelegt ist.

23.

Ad-hoc-Abkommen über die Beteiligung, die für eine spezielle GSVP-Operation geschlossen werden, enthalten Bestimmungen über die Weitergabe von für die Zwecke dieser Operation erstellten EU-VS an den beteiligten Drittstaat oder die beteiligte internationale Organisation. Der höchstzulässige Geheimhaltungsgrad von EU-VS, die ausgetauscht werden können, ist der Geheimhaltungsgrad „RESTREINT UE/EU RESTRICTED“ für zivile GSVP-Operationen und „CONFIDENTIEL UE/EU CONFIDENTIAL“ für militärische GSVP-Operationen, es sei denn, dass im Beschluss zur Einrichtung der jeweiligen GSVP-Operation etwas anderes festgelegt ist.

24.

Besteht kein Geheimschutzabkommen, so wird bis zum Abschluss eines Abkommens über die Beteiligung die Weitergabe von für die Zwecke dieser Operation erstellten EU-VS an einen an der Operation beteiligten Drittstaat oder an eine an der Operation beteiligte internationale Organisation durch eine vom Hohen Vertreter einzugehende Verwaltungsvereinbarung geregelt oder unterliegt einem Beschluss über die Ad-hoc-Weitergabe nach Abschnitt VI. EU-VS können im Rahmen einer solchen Vereinbarung nur so lange ausgetauscht werden, wie die Beteiligung des Drittstaats oder der internationalen Organisation immer noch geplant ist. Der höchstzulässige Geheimhaltungsgrad von EU-VS, die ausgetauscht werden können, ist der Geheimhaltungsgrad „RESTREINT UE/EU RESTRICTED“ für zivile GSVP-Operationen und „CONFIDENTIEL UE/EU CONFIDENTIAL“ für militärische GSVP-Operationen, es sei denn, dass im Beschluss zur Einrichtung der jeweiligen GSVP-Operation etwas anderes festgelegt ist.

25.

In den in die Rahmenabkommen für eine Beteiligung, die Ad-hoc-Abkommen über eine Beteiligung und die unter den Nummern 22 bis 24 genannten Ad-hoc-Verwaltungsvereinbarungen aufzunehmenden Bestimmungen über Verschlusssachen wird festgelegt, dass der betreffende Drittstaat oder die betreffende internationale Organisation dafür zu sorgen hat, dass sein/ihr für eine Operation abgeordnetes Personal EU-VS im Einklang mit den Sicherheitsvorschriften des Rates und den von den zuständigen Stellen — einschließlich der Befehlskette der Operation — erteilten sonstigen Weisungen schützt.

26.

Wird zwischen der Union und einem beteiligten Drittstaat oder einer beteiligten internationalen Organisation anschließend ein Geheimschutzabkommen geschlossen, so tritt das Geheimschutzabkommen, soweit der Austausch und die Bearbeitung von EU-VS betroffen sind, an die Stelle der Bestimmungen über den Austausch von Verschlusssachen in dem Rahmenabkommen über eine Beteiligung, des Ad-hoc-Abkommens über eine Beteiligung oder der Ad-hoc-Verwaltungsvereinbarung.

27.

Der Austausch von EU-VS auf elektronischem Wege im Rahmen eines Rahmenabkommens über eine Beteiligung, eines Ad-hoc-Abkommens über eine Beteiligung oder einer Ad-hoc-Verwaltungsvereinbarung mit einem Drittstaat oder einer internationalen Organisation ist nicht zulässig, es sei denn, dies ist in dem betreffenden Abkommen oder der betreffenden Vereinbarung ausdrücklich vorgesehen.

28.

Für die Zwecke einer GSVP-Operation erstellte EU-VS können gemäß den Nummern 22 bis 27 dem von Drittstaaten oder internationalen Organisationen für diese Operation abgeordneten Personal offengelegt werden. Wird diesem Personal Zugang zu EU-VS in Räumlichkeiten und/oder Kommunikations- und Informationssystemen einer GSVP-Operation gewährt, so müssen Maßnahmen (einschließlich der Aufzeichnung der offengelegten EU-VS) getroffen werden, um das Risiko des Verlusts oder der Kenntnisnahme durch Unbefugte gering zu halten. Entsprechende Maßnahmen sind in den einschlägigen Planungs- oder Missionsunterlagen festzulegen.

29.

Besteht kein Geheimschutzabkommen, so kann im Falle eines speziellen und dringenden operativen Bedarfs die Weitergabe von EU-VS an den Aufnahmestaat, in dessen Hoheitsgebiet die GSVP-Operation durchgeführt wird, durch eine vom Hohen Vertreter einzugehende Verwaltungsvereinbarung geregelt werden. Diese Möglichkeit ist im Beschluss zur Einrichtung der GSVP-Operation vorzusehen. Unter diesen Umständen dürfen nur EU-VS weitergegeben werden, die für die Zwecke der GSVP-Operation erstellt wurden und keinen höheren Geheimhaltungsgrad als „RESTREINT UE/EU RESTRICTED“ aufweisen, es sei denn, in dem Beschluss zur Einrichtung der GSVP-Operation ist ein höherer Geheimhaltungsgrad festgelegt. Im Rahmen einer derartigen Verwaltungsvereinbarung ist der Aufnahmestaat verpflichtet, die EU-VS gemäß Mindeststandards zu schützen, die nicht weniger streng als die in dem vorliegenden Beschluss festgelegten Mindeststandards sind.

30.

Besteht kein Geheimschutzabkommen, so kann die Weitergabe von EU-VS an einschlägige Drittstaaten und internationale Organisationen, die nicht an einer GSVP-Operation beteiligt sind, durch eine vom Hohen Vertreter einzugehende Verwaltungsvereinbarung geregelt werden. Gegebenenfalls wird diese Möglichkeit — sowie alle damit verbundenen Bedingungen — in dem Beschluss zur Einrichtung der GSVP-Operation vorgesehen. Unter diesen Umständen dürfen nur EU-VS weitergegeben werden, die für die Zwecke der GSVP-Operation erstellt wurden und keinen höheren Geheimhaltungsgrad als „RESTREINT UE/EU RESTRICTED“ aufweisen, es sei denn, in dem Beschluss zur Einrichtung der GSVP-Operation ist ein höherer Geheimhaltungsgrad festgelegt. Im Rahmen einer derartigen Verwaltungsvereinbarung wird der betreffende Drittstaat oder die betreffende internationale Organisation verpflichtet, die EU-VS gemäß Mindeststandards zu schützen, die nicht weniger streng als die in dem vorliegenden Beschluss festgelegten Mindeststandards sind.

31.

Vor der Durchführung der Bestimmungen über die Weitergabe von EU-VS entsprechend den Nummern 22, 23 und 24 sind keine Durchführungsvereinbarungen oder Bewertungsbesuche erforderlich.

32.

Wenn kein rechtlicher Rahmen gemäß den Abschnitten III bis V besteht und der Rat oder eines seiner Vorbereitungsgremien beschließt, dass es in einem Ausnahmefall notwendig ist, an einen Drittstaat oder eine internationale Organisation EU-VS weiterzugeben, verfährt das Generalsekretariat des Rates wie folgt:

33.

Spricht sich der Sicherheitsausschuss in seiner Empfehlung für die Weitergabe der EU-VS aus, so wird die Angelegenheit an den Ausschuss der Ständigen Vertreter (AStV) verwiesen, der über die Weitergabe der Verschlusssachen entscheidet.

34.

Spricht sich der Sicherheitsausschuss in seiner Empfehlung gegen die Weitergabe der EU-VS aus, so erfolgt

35.

Falls es für sinnvoll erachtet wird, kann der AStV — vorbehaltlich der vorherigen schriftlichen Zustimmung des Herausgebers — entscheiden, dass die Verschlusssachen nur teilweise oder nur nach einer Herabstufung oder Aufhebung ihres Geheimhaltungsgrads weitergegeben werden dürfen oder dass die weiterzugebenden Informationen ohne Bezug auf die Quelle oder den ursprünglichen EU-Geheimhaltungsgrad erstellt werden.

36.

Im Anschluss an die Entscheidung über die Weitergabe der EU-VS übermittelt das Generalsekretariat des Rates das betreffende Dokument, auf dem durch eine Weitergabekennzeichnung angegeben wird, an welchen Drittstaat oder welche internationale Organisation es weitergegeben wurde. Vor oder bei der tatsächlichen Weitergabe muss der betreffende Dritte sich schriftlich verpflichten, die empfangenen EU-VS gemäß den Grundprinzipien und Mindeststandards dieses Beschlusses zu schützen.

37.

Besteht eine Vereinbarung gemäß Nummer 2 für den Austausch von Verschlusssachen mit einem Drittstaat oder einer internationalen Organisation, so beschließt der Rat, dass der Generalsekretär ermächtigt wird, EU-VS an den betreffenden Drittstaat oder die betreffende internationale Organisation im Einklang mit dem Grundsatz der Zustimmung des Herausgebers weiterzugeben. Der Generalsekretär kann eine solche Ermächtigung an leitende Beamte des Generalsekretariats des Rates delegieren.

38.

Besteht ein Geheimschutzabkommen gemäß Nummer 2 erster Gedankenstrich, so kann der Rat beschließen, dass der Hohe Vertreter ermächtigt wird, vom Rat im Bereich der Gemeinsamen Außen und Sicherheitspolitik herausgegebene EU-VS an den betreffenden Drittstaat oder an die betreffende internationale Organisation weiterzugeben, nachdem die Zustimmung des Herausgebers von darin enthaltenem Quellenmaterial eingeholt wurde. Der Hohe Vertreter kann eine solche Ermächtigung an leitende Beamte des EAD oder an EU-Sonderbeauftragte delegieren.

39.

Besteht eine Vereinbarung gemäß Nummer 2 oder 3 für den Austausch von Verschlusssachen mit einem Drittstaat oder einer internationalen Organisation, so ist der Hohe Vertreter ermächtigt, EU-VS im Einklang mit dem Beschluss zur Einrichtung der GSVP-Operation und nach dem Grundsatz der Zustimmung des Herausgebers weiterzugeben. Der Hohe Vertreter kann eine solche Ermächtigung an leitende Beamte des EAD, an Befehlshaber von Operationen, Einsatzkräften oder Missionen der EU oder an EU-Missionsleiter delegieren.