BESCHLUSS 2009/968/JI DES RATES

vom 30. November 2009

zur Annahme der Vertraulichkeitsregeln für Europol-Informationen

DER RAT DER EUROPÄISCHEN UNION —

gestützt auf den Beschluss 2009/371/JI des Rates vom 6. April 2009 zur Errichtung des Europäischen Polizeiamts (Europol) (1) (nachstehend „Europol-Beschluss“ genannt), insbesondere auf Artikel 40,

aufgrund des vom Verwaltungsrat vorgelegten Entwurfs der Vertraulichkeitsregeln,

nach Stellungnahme des Europäischen Parlaments,

in der Erwägung, dass es gemäß dem Europol-Beschluss dem Rat obliegt, Vertraulichkeitsregeln für Informationen, die von Europol erlangt oder mit Europol ausgetauscht werden, mit qualifizierter Mehrheit nach Anhörung des Europäischen Parlaments zu erlassen —

BESCHLIESST:

KAPITEL I

BEGRIFFSBESTIMMUNGEN UND GELTUNGSBEREICH

Artikel 1

Begriffsbestimmungen

Im Sinne dieser Regelung bezeichnet der Ausdruck

Artikel 2

Geltungsbereich

(1)   Diese Regelung legt die Sicherheitsmaßnahmen fest, die für alle Informationen gelten, die von oder über Europol verarbeitet werden.

(2)   Die Kommunikationsverbindungen zwischen Europol und den nationalen Stellen der Mitgliedstaaten gemäß Artikel 8 des Europol-Beschlusses weisen ein Schutzniveau auf, das dem durch diese Maßnahmen gebotenen Schutzniveau entspricht. Der Sicherheitsausschuss nimmt einen gemeinsamen Standard für diese Kommunikationsverbindungen an.

(3)   Der Anhang enthält eine Übersicht über die Europol-Geheimhaltungsgrade gemäß Artikel 10 und die entsprechenden Kennzeichnungen, die die Mitgliedstaaten derzeit für unter diese Geheimhaltungsgrade fallende Informationen verwenden. Unterrichtet ein Mitgliedstaat die anderen Mitgliedstaaten und Europol über Änderungen der nationalen Bestimmungen über die Geheimhaltungsgrade oder der entsprechenden Kennzeichnungen, erstellt Europol eine überarbeitete Fassung der im Anhang wiedergegebenen Übersicht. Der Sicherheitsausschuss vergewissert sich mindestens einmal im Jahr, ob die Übersicht auf dem neuesten Stand ist.

KAPITEL II

ZUSTÄNDIGKEITEN FÜR SICHERHEITSFRAGEN

Artikel 3

Zuständigkeiten der Mitgliedstaaten

(1)   Die Mitgliedstaaten verpflichten sich sicherzustellen, dass die Europol-Informationen innerhalb ihres Hoheitsgebiets ein Schutzniveau erhalten, das dem Schutzniveau entspricht, das von den mit der vorliegenden Regelung festgelegten Sicherheitsmaßnahmen geboten wird.

(2)   Die Mitgliedstaaten verpflichten sich, den Sicherheitskoordinator von allen Verstößen gegen die Sicherheitsvorschriften zu unterrichten, die die Interessen Europols oder eines Mitgliedstaats beeinträchtigen könnten. In einem solchen Fall wird der betreffende Mitgliedstaat auch unmittelbar von der nationalen Stelle unterrichtet.

Artikel 4

Sicherheitsausschuss

(1)   Es wird ein Sicherheitsausschuss eingesetzt, der sich aus Vertretern der Mitgliedstaaten und Europols zusammensetzt und der mindestens zweimal im Jahr zusammentritt.

(2)   Aufgabe des Sicherheitsausschusses ist es, den Verwaltungsrat und den Direktor von Europol in Fragen der Sicherheit, einschließlich der Anwendung des Sicherheitshandbuchs, zu beraten.

(3)   Der Sicherheitsausschuss gibt sich eine Geschäftsordnung. Den Vorsitz im Sicherheitsausschuss führt der Sicherheitskoordinator.

Artikel 5

Sicherheitskoordinator

(1)   Der Sicherheitskoordinator hat die allgemeine Verantwortung für alle Sicherheitsfragen, einschließlich der in dieser Regelung und im Sicherheitshandbuch festgelegten Sicherheitsmaßnahmen. Der Sicherheitskoordinator überwacht die Durchsetzung der Sicherheitsbestimmungen und meldet dem Direktor alle Sicherheitsverstöße. In schwerwiegenden Fällen unterrichtet der Direktor den Verwaltungsrat. Besteht die Gefahr, dass durch einen solchen Verstoß die Interessen eines Mitgliedstaats beeinträchtigt werden, wird auch dieser unterrichtet.

(2)   Der Sicherheitskoordinator ist dem Direktor von Europol direkt unterstellt.

(3)   Der Sicherheitskoordinator muss im Einklang mit den Rechtsvorschriften und Bestimmungen des Mitgliedstaats, dessen Staatsangehörigkeit er besitzt, bis einschließlich zum höchsten Geheimhaltungsgrad sicherheitsüberprüft sein.

Artikel 6

Sicherheitsbeauftragte

(1)   Die Sicherheitsbeauftragten unterstützen den Direktor bei der Durchführung der Sicherheitsmaßnahmen, die in dieser Regelung und im Sicherheitshandbuch vorgesehen sind. Die Sicherheitsbeauftragten sind dem Sicherheitskoordinator direkt unterstellt. Die Sicherheitsbeauftragten haben die folgenden spezifischen Aufgaben:

(2)   Die Sicherheitsbeauftragten müssen gemäß den Rechtsvorschriften und Bestimmungen des Mitgliedstaats, dessen Staatsangehörigkeit sie besitzen, bis einschließlich zu dem angemessenen Geheimhaltungsgrad, der für die Wahrnehmung ihrer Aufgaben erforderlich ist, sicherheitsüberprüft sein.

Artikel 7

Sicherheitshandbuch, Verfahren und Inhalt

(1)   Das Sicherheitshandbuch wird vom Verwaltungsrat nach Anhörung des Sicherheitsausschusses verabschiedet.

(2)   Das Sicherheitshandbuch liefert dem Management Vorgaben und Unterstützung in Sicherheitsfragen im Einklang mit den betrieblichen Anforderungen und enthält die Herangehensweise von Europol für das Sicherheitsmanagement. Das Sicherheitshandbuch enthält

(3)   Das Sicherheitshandbuch wird regelmäßig oder bei Eintreten wesentlicher Veränderungen überarbeitet, um seine fortgesetzte Tauglichkeit, Angemessenheit und Wirksamkeit zu gewährleisten.

(4)   Änderungen des Sicherheitshandbuchs werden im Verfahren nach Absatz 1 angenommen.

Artikel 8

Sicherheitsakkreditierung der Systeme

(1)   Alle zur Verarbeitung von Europol-Verschlusssachen verwendeten Europol-Systeme sind vom Verwaltungsrat nach Anhörung des Sicherheitsausschusses zu akkreditieren, sobald die wirksame Durchführung der erforderlichen Sicherheitsmaßnahmen, die sich aus den „Systemspezifischen Sicherheitsauflagen“ (SSSA), dem Register der Informationsrisiken und allen anderen einschlägigen Dokumenten ergeben, versichert worden ist. Teilsysteme und dezentrale Terminals bzw. Datenstationen werden als Teil aller Systeme akkreditiert, mit denen sie verbunden sind.

(2)   Die SSSA werden vom Verwaltungsrat nach Anhörung des Sicherheitsausschusses angenommen. Die SSSA müssen den einschlägigen Bestimmungen des Sicherheitshandbuchs entsprechen.

Artikel 9

Einhaltung der Maßnahmen

(1)   Die in dieser Regelung und im Sicherheitshandbuch festgelegten Sicherheitsmaßnahmen sind von allen Personen bei Europol sowie von allen anderen an den Tätigkeiten von Europol beteiligten Personen, die zur Verschwiegenheit und Geheimhaltung besonders verpflichtet sind, anzuwenden.

(2)   Es obliegt dem Direktor, den Verbindungsbüros und den nationalen Europol-Stellen, die Anwendung der Maßnahmen nach Absatz 1 zu gewährleisten.

KAPITEL III

ALLGEMEINE GRUNDSÄTZE

Artikel 10

Grundschutzgrad, Geheimhaltungsgrade und Sicherheitspakete

(1)   Mit Ausnahme der ausdrücklich als öffentlich zugänglich gekennzeichneten oder als solche eindeutig erkennbaren Informationen, erhalten alle Informationen, die von oder über Europol verarbeitet werden, einen Grundschutzgrad, der innerhalb von Europol sowie in den Mitgliedstaaten gilt.

(2)   Die Mitgliedstaaten gewährleisten gemäß Artikel 3 durch verschiedene Maßnahmen, die im Einklang mit den einzelstaatlichen Rechtsvorschriften und Regelungen stehen, die Anwendung des in Absatz 1 genannten Grundschutzgrades; hierzu gehören die Verpflichtung zur Verschwiegenheit und Geheimhaltung, die Beschränkung des Zugangs zu Informationen auf das befugte Personal, Datenschutzauflagen für personenbezogene Daten sowie allgemeine technische und Verfahrensmaßnahmen zur Wahrung der Sicherheit der Informationen, wobei Artikel 41 Absatz 2 des Europol-Beschlusses Rechnung zu tragen ist.

(3)   Informationen, die zusätzliche Sicherheitsmaßnahmen erfordern, werden in einen Europol-Geheimhaltungsgrad eingestuft und entsprechend besonders gekennzeichnet. Informationen sind in einen solchen Geheimhaltungsgrad nur in unbedingt notwendigen Fällen und nur für den jeweils erforderlichen Zeitraum einzustufen.

(4)   Die folgenden Europol-Geheimhaltungsgrade werden verwendet:

a)   „RESTREINT UE/EU RESTRICTED“ (VS — nur für den Dienstgebrauch): Diese Einstufung ist bei Informationen und Materialien vorzunehmen, deren unbefugte Weitergabe sich auf die Interessen Europols; der EU oder eines oder mehrerer Mitgliedstaaten nachteilig auswirken könnte.

b)   „CONFIDENTIEL UE/EU CONFIDENTIAL“ (VS — vertraulich): Diese Einstufung ist bei Informationen und Materialien vorzunehmen, deren unbefugte Weitergabe den wesentlichen Interessen Europols, der EU oder eines oder mehrerer Mitgliedstaaten Schaden zufügen könnte.

c)   „SECRET UE/EU SECRET“ (Geheim): Diese Einstufung ist bei Informationen und Materialien vorzunehmen, deren unbefugte Weitergabe den wesentlichen Interessen Europols, der EU oder eines oder mehrerer Mitgliedstaaten schweren Schaden zufügen könnte.

d)   „TRÈS SECRET UE/EU TOP SECRET“ (Streng geheim): Diese Einstufung ist bei Informationen und Materialien vorzunehmen, deren unbefugte Weitergabe den wesentlichen Interessen Europols, der EU oder eines oder mehrerer Mitgliedstaaten außerordentlich schweren Schaden zufügen könnte.

Solche in einen Geheimhaltungsgrad eingestuften Informationen und Materialien tragen eine zusätzliche Kennzeichnung („Europol“) unterhalb der Kennzeichnung zur Einstufung des Geheimhaltungsgrades, um darauf hinzuweisen, dass diese von Europol stammen.

Jeder Europol-Geheimhaltungsgrad ist mit einem spezifischen Sicherheitsmaßnahmenpaket verbunden, das innerhalb von Europol anzuwenden ist. Die Sicherheitsmaßnahmenpakete bieten unterschiedliche Schutzniveaus, und zwar je nach dem Inhalt der Informationen und unter Berücksichtigung der nachteiligen Folgen, die ein unbefugter Zugang zu den Informationen oder eine unbefugte Verbreitung oder Verwendung dieser Informationen für die Interessen von Europol oder die Interessen der Mitgliedstaaten haben könnte.

Werden Verschlusssachen unterschiedlicher Geheimhaltungsgrade zusammengestellt, ist mindestens der Geheimhaltungsgrad anzuwenden, der für die in den höchsten Geheimhaltungsgrad eingestufte Information gilt. Auf jeden Fall kann eine Zusammenstellung von Informationen in einen höheren Geheimhaltungsgrad als ihre jeweiligen Teile eingestuft werden.

Für die Übersetzungen von Verschlusssachen gilt derselbe Geheimhaltungsgrad und derselbe Schutz wie für die Originale.

(5)   Als Warnhinweis dienende Kennzeichnungen können benutzt werden, um zusätzliche Bedingungen wie etwa die auf bestimmte Informationsaustauschkanäle beschränkte Weitergabe der Informationen, Sperrvermerke oder eine besondere Verteilung gemäß dem Grundsatz „Kenntnis nur wenn nötig“ anzugeben. Diese Kennzeichnungen sind im Sicherheitshandbuch zu bestimmen.

(6)   Die Sicherheitsmaßnahmenpakete bestehen aus verschiedenen Maßnahmen physischer, technischer, organisatorischer oder administrativer Art, die im Sicherheitshandbuch festgelegt sind.

Artikel 11

Wahl des Geheimhaltungsgrads

(1)   Der Mitgliedstaat, der Europol Informationen übermittelt, ist gemäß Artikel 10 für die Wahl eines geeigneten Geheimhaltungsgrads für diese Informationen verantwortlich. Er kennzeichnet die Informationen anlässlich ihrer Übermittlung an Europol gegebenenfalls mit einem Europol-Geheimhaltungsgrad gemäß Artikel 10 Absatz 4.

(2)   Bei der Wahl eines Geheimhaltungsgrads berücksichtigen die Mitgliedstaaten die Einstufung der jeweiligen Informationen nach ihren nationalen Regelungen, das Erfordernis der operativen Flexibilität als Voraussetzung für ein reibungsloses Funktionieren von Europol und die Vorgabe, dass die Einstufung von strafverfolgungsrelevanten Informationen als Verschlusssache die Ausnahme sein sollte und im Falle einer derartigen Einstufung der niedrigstmögliche Geheimhaltungsgrad gewählt werden sollte.

(3)   Gelangt Europol anhand der ihm bereits vorliegenden Informationen zu dem Schluss, dass ein gewählter Geheimhaltungsgrad zu ändern ist (z. B. etwaige Aufhebung eines Geheimhaltungsgrades oder Wahl eines höheren Geheimhaltungsgrades, einschließlich der Einstufung eines zuvor dem Grundschutzgrad unterliegenden Dokuments in einen Geheimhaltungsgrad), unterrichtet Europol den betreffenden Mitgliedstaat und bemüht sich, Einvernehmen über einen geeigneten Geheimhaltungsgrad zu erzielen. Ohne ein solches Einvernehmen werden von Europol keine Geheimhaltungsgrade festgelegt, geändert, erhöht oder aufgehoben.

(4)   Stützen sich von Europol erarbeitete Informationen auf von einem Mitgliedstaat übermittelte Informationen oder enthalten sie derartige Informationen, legt Europol im Einvernehmen mit dem betreffenden Mitgliedstaat fest, ob der Grundschutzgrad ausreichend ist oder ob die Einstufung in einem Europol-Geheimhaltungsgrad erforderlich ist.

(5)   Werden die Informationen von Europol selbst erarbeitet und stützen sie sich weder auf Informationen, die von einem Mitgliedstaat übermittelt worden sind, noch enthalten sie derartige Informationen, bestimmt Europol anhand der vom Sicherheitsausschuss festgelegten Kriterien einen geeigneten Geheimhaltungsgrad für diese Informationen. Erforderlichenfalls werden die Informationen von Europol entsprechend gekennzeichnet.

(6)   Die Mitgliedstaaten und Europol konsultieren in Fällen, in denen Informationen auch die wesentlichen Interessen eines anderen Mitgliedstaats betreffen, diesen Mitgliedstaat zu der Frage, ob die Informationen in einen Geheimhaltungsgrad eingestuft werden sollen und, sollte dies der Fall sein, welcher Geheimhaltungsgrad angewendet werden sollte.

Artikel 12

Änderung von Geheimhaltungsgraden

(1)   Der Mitgliedstaat, der Europol Informationen übermittelt hat, kann jederzeit eine Änderung eines gewählten Geheimhaltungsgrads, einschließlich einer etwaigen Aufhebung oder Erhöhung des Geheimhaltungsgrades, verlangen. Europol ist verpflichtet, einen Geheimhaltungsgrad entsprechend den Wünschen des betreffenden Mitgliedstaats aufzuheben, zu ändern oder zu erhöhen.

(2)   Der betreffende Mitgliedstaat beantragt die Einstufung in einen niedrigeren Geheimhaltungsgrad oder die Aufhebung der Geheimhaltung, sobald es die Umstände gestatten.

(3)   Ein Mitgliedstaat, der Europol Informationen übermittelt, kann den Zeitraum, für den ein gewählter Geheimhaltungsgrad gelten soll angeben, sowie etwaige Änderungen des Geheimhaltungsgrads für den nachfolgenden Zeitraum.

(4)   Ist der Grundschutzgrad oder der Geheimhaltungsgrad von Europol gemäß Artikel 11 Absatz 4 bestimmt worden, kann eine Änderung des Grundschutzgrads oder des Geheimhaltungsgrads durch Europol nur im Einvernehmen mit den betreffenden Mitgliedstaaten erfolgen.

(5)   Ist der Geheimhaltungsgrad von Europol gemäß Artikel 11 Absatz 5 bestimmt worden, kann Europol den Geheimhaltungsgrad jederzeit aufheben oder ändern, sofern dies als notwendig erachtet wird.

(6)   Sind Informationen, deren Geheimhaltungsgrad gemäß diesem Artikel geändert worden ist, bereits an andere Mitgliedstaaten übermittelt worden, so setzt Europol, die Empfänger der Informationen von der Änderung des Geheimhaltungsgrads in Kenntnis.

Artikel 13

Verarbeitung, Zugriff und Ermächtigung

(1)   Innerhalb von Europol sind der Zugriff auf die Informationen und ihr Besitz auf die Personen beschränkt, die aufgrund ihrer dienstlichen Obliegenheiten von diesen Informationen Kenntnis haben oder mit ihnen arbeiten müssen. Die Personen, die mit der Verarbeitung von Daten betraut werden, müssen angemessen sicherheitsüberprüft sein und werden besonders geschult.

(2)   Alle Personen, die Zugriff auf von Europol verarbeitete und in einen Geheimhaltungsgrad eingestufte Informationen haben, werden gemäß Artikel 40 Absatz 2 des Europol-Beschlusses und nach Maßgabe des Sicherheitshandbuchs einer Sicherheitsüberprüfung unterzogen. Der Sicherheitskoordinator erteilt auf der Grundlage der Ergebnisse der Sicherheitsüberprüfung und unter Berücksichtigung der Bestimmungen des Sicherheitshandbuchs den Personen, die aufgrund ihrer dienstlichen Obliegenheiten von den in einen Europol-Geheimhaltungsgrad eingestuften Informationen Kenntnis haben müssen, eine ihrer nationalen Ermächtigung entsprechende Genehmigung. Die Genehmigung wird regelmäßig vom Sicherheitskoordinator überprüft. Sie kann vom Sicherheitskoordinator unverzüglich eingezogen werden, wenn hierzu ein begründeter Anlass besteht. Der Sicherheitskoordinator hat ferner sicherzustellen, dass Absatz 3 durchgeführt wird.

(3)   Personen, die nicht die für den jeweiligen Geheimhaltungsgrad erforderliche Ermächtigung besitzen, haben keinen Zugriff auf die in einen Geheimhaltungsgrad eingestuften Informationen. Der Sicherheitskoordinator kann jedoch nach Anhörung eines Sicherheitsbeauftragten ausnahmsweise

(4)   Diese Genehmigung wird nicht erteilt, wenn ein Mitgliedstaat bei der Übermittlung der betreffenden Informationen angibt, dass der Sicherheitskoordinator seine Ermessensfreiheit nach Absatz 3 in Bezug auf diese Informationen nicht ausüben kann.

Artikel 14

Dritte Parteien

Beim Abschluss von Geheimschutzabkommen mit Dritten oder beim Abschluss von Vereinbarungen gemäß Artikel 22 Absatz 4 und Artikel 23 Absatz 7 des Europol-Beschlusses trägt Europol den in dieser Regelung und im Sicherheitshandbuch festgelegten Grundsätzen Rechnung, die entsprechend für die mit dritten Parteien ausgetauschten Informationen gelten sollten.

KAPITEL IV

SCHLUSSBESTIMMUNGEN

Artikel 15

Änderung der Regelung

Vorschläge für Änderungen dieser Regelung werden vom Verwaltungsrat im Hinblick auf ihre Annahme durch den Rat im Verfahren nach Artikel 40 Absatz 1 des Europol-Beschlusses geprüft.

Artikel 16

Inkrafttreten

Diese Regelung tritt am 1. Januar 2010 in Kraft.

(1)  ABl. L 121 vom 15.5.2009, S. 37.