Decisión de la Alta Representante de la Unión para Asuntos Exteriores y Política de Seguridad, de 15 de junio de 2011 , sobre las normas de seguridad del Servicio Europeo de Acción Exterior

1 La presente Decisión establece las normas de protección y seguridad del Servicio Europeo de Acción Exterior (en lo sucesivo, las «normas de seguridad del SEAE». En ella se determina el marco reglamentario general para la gestión eficaz de los riesgos que afectan al personal, los bienes materiales y la información, y para el cumplimiento del deber de diligencia a ese respecto.

2 Las normas de seguridad del SEAE serán aplicables a todo el personal del SEAE (es decir, los funcionarios y otros agentes, los expertos nacionales en comisión de servicios y los agentes locales), así como a todo el personal de las Delegaciones de la Unión, con independencia de su situación administrativa o de su origen (en lo sucesivo, «el personal»).

3 La Alta Representante adoptará todas las medidas necesarias para aplicar estas normas en el SEAE y creará la capacidad necesaria para abarcar todos los aspectos de la seguridad con la colaboración de los servicios competentes de los Estados miembros, la Secretaría General del Consejo y la Comisión.

4 Desde el momento de la entrada en vigor de la presente Decisión, podrán adoptarse cuantas disposiciones transitorias se consideren necesarias mediante acuerdos de nivel de servicios con los servicios competentes de la Secretaría General del Consejo y de la Comisión.

5 La Alta Representante mantendrá estas normas de seguridad bajo escrutinio. La Alta Representante garantizará la coherencia general de la aplicación de la presente Decisión.

6 Cuando lo estime necesario, la Alta Representante, previa recomendación del Comité contemplado en el artículo 9, apartado 6, aprobará políticas de seguridad que establezcan disposiciones de aplicación de la presente Decisión. A su nivel, ese Comité podrá acordar directrices de seguridad que complementen o confirmen lo dispuesto en la presente Decisión.

7 A efectos de la aplicación del apartado 6, el Comité deberá tener plenamente en cuenta las políticas y directrices de seguridad vigentes en el Consejo y en la Comisión Europea para mantener la coherencia entre las medidas de seguridad respectivas del SEAE, el Consejo y la Comisión.

1 A fin de determinar sus necesidades de protección de la seguridad, el SEAE aplicará una metodología global de evaluación de los riesgos para la seguridad en consulta con la Oficina de Seguridad de la Secretaría General del Consejo y con la Dirección de Seguridad de la Comisión Europea. Se consultará al Comité mencionado en el artículo 9, apartado 6, acerca de la aplicación de dicha metodología en el SEAE.

2 Los riesgos para el personal, los bienes materiales y la información se gestionarán en forma de proceso. El objetivo de ese proceso será determinar los riesgos conocidos para la seguridad, definir las medidas de seguridad dirigidas a reducirlos hasta niveles aceptables y aplicar disposiciones acordes con el concepto de defensa en profundidad. La eficacia de dichas medidas será objeto de una evaluación continua.

3 Los roles, responsabilidades y cometidos que establece la presente Decisión se entienden sin perjuicio de la responsabilidad de cada miembro del personal del SEAE a la hora de ejercer el sentido común y el buen juicio respecto de su propia protección y seguridad, y de su obligación de cumplir todas las normas, reglamentos, protocolos e instrucciones de seguridad.

4 EL SEAE adoptará todas las medidas oportunas para garantizar la protección y la seguridad del personal, los bienes materiales y la información y para impedir cualquier daño racionalmente previsible que aquellos pudieren sufrir, conforme al artículo 1, apartado 3.

5 Las medidas de seguridad aplicadas en el SEAE con miras a la protección de información clasificada a lo largo de todo su ciclo de vida serán proporcionales a su clasificación de seguridad, a la forma y el volumen de la información o el material, a la ubicación o la construcción de las instalaciones que contengan la información clasificada y a las amenazas —incluso las evaluadas de forma local— de actividades dolosas o delictivas como el espionaje, el sabotaje y el terrorismo.

1 Previa consulta al Comité contemplado en el artículo 10, apartado 1, de la Decisión 2010/427/UE del Consejo, por la que se establece la organización y el funcionamiento del SEAE, la Alta Representante podrá adoptar normas de protección de la información clasificada equivalentes a las establecidas en la Decisión 2011/292/UE del Consejo, sobre las normas de seguridad para la protección de la información clasificada de la UE (en lo sucesivo, «ICUE»). En espera de la aprobación de esas normas, el SEAE aplicará, mutatis mutandis, las normas de seguridad del Consejo antes mencionadas. La Alta Representante adoptará cuantas medidas sean necesarias para aplicar esas normas en el SEAE conforme al artículo 1, apartado 3.

2 Cuando los Estados miembros introduzcan en las estructuras o en las redes del SEAE información clasificada que lleve una marca nacional de clasificación de seguridad, el SEAE protegerá dicha información con arreglo a los requisitos aplicables a la ICUE de nivel equivalente, según especifiquen las normas aplicables con arreglo al artículo 3, apartado 1.

3 Por lo que respecta a la protección de la información sensible no clasificada, las medidas de seguridad que se adopten en el SEAE serán proporcionales a su sensibilidad o a las repercusiones de su divulgación no autorizada para los intereses de la UE.

1 Se adoptarán las medidas de seguridad física apropiadas, incluidas las relativas al control del acceso, respecto de todas las instalaciones, edificios, oficinas, salas y demás zonas del SEAE, incluidas las zonas que alberguen sistemas de comunicación e información en los que se maneje información clasificada. Esas medidas deberán tenerse en cuenta en el diseño y en la ordenación de los edificios.

2 Cuando sea necesario, se implantarán medidas de seguridad física para la protección del personal y las personas situadas bajo su responsabilidad.

3 Las medidas contempladas en los apartados 1 y 2 serán proporcionales al riesgo que se haya evaluado para el personal y los visitantes, los bienes materiales y la información.

4 Las zonas del SEAE en las que se almacene información clasificada de grado CONFIDENTIEL UE/EU CONFIDENTIAL, superior o equivalente, se declararán zonas de seguridad conforme a las normas establecidas con arreglo al artículo 3, apartado 1, y serán autorizadas por la autoridad de seguridad competente del SEAE.

1 El acceso a la información clasificada y los procedimientos de habilitación de seguridad del personal se regirán por los requisitos fijados en las normas establecidas conforme al artículo 3, apartado 1.

2 Todo el personal cuyas funciones puedan requerir su acceso a información clasificada de grado CONFIDENTIEL UE/EU CONFIDENTIAL, superior o equivalente, deberá disponer de una habilitación de seguridad para el grado correspondiente antes de poder acceder a dicha información clasificada. No obstante, los agentes locales no recibirán acceso a la ICUE excepto en las condiciones que determinen las normas establecidas con arreglo al artículo 3, apartado 1.

3 Los procedimientos de habilitación de seguridad del personal del SEAE se fijarán en las normas establecidas con arreglo al artículo 3, apartado 1. Esos procedimientos ofrecerán garantías equivalentes a las aportadas por los procedimientos aplicados en la Comisión Europea y en la Secretaría General del Consejo.

1 EL SEAE protegerá la información que se maneje a través de los sistemas de información y comunicación (en lo sucesivo, «SIC») frente a toda amenaza que comprometa su confidencialidad, integridad, disponibilidad, autenticidad y irrenunciabilidad.

2 Todo SIC que maneje información clasificada deberá ser sometido a un proceso de acreditación. EL SEAE aplicará un sistema de acreditación de la seguridad previa en consulta con la Secretaría General del Consejo y la Comisión Europea.

3 Cuando la protección de la ICUE se efectúe mediante productos criptográficos, esos productos deberán estar aprobados por la Autoridad de Certificación Criptográfica del SEAE previa recomendación del Comité mencionado en el artículo 10, apartado 1, de la Decisión 2010/427/UE del Consejo, por la que se establece la organización y el funcionamiento del Servicio Europeo de Acción Exterior, conforme a lo dispuesto en el artículo 10 de la Decisión 2011/292/UE del Consejo, sobre las normas de seguridad para la protección clasificada de la UE.

4 Conforme a lo dispuesto en el apartado 3, artículo 1, la Alta Representante creará, en la medida necesaria, las siguientes funciones de aseguramiento de la información: a) una Autoridad de Aseguramiento de la Información; b) una Autoridad TEMPEST; c) una Autoridad de Autorización Criptográfica; d) una Autoridad de Distribución Criptográfica.

5 Para cada uno de esos sistemas, la Alta Representante determinará las siguientes funciones conforme al artículo 3, apartado 1: a) una Autoridad de Acreditación de Seguridad; b) una Autoridad Operativa de Aseguramiento de la Información.

1 La Alta Representante se asegurará de que se elaboren y aplique en el SEAE los programas apropiados de formación y sensibilización en asuntos de seguridad, y de que el personal y, cuando así proceda, las personas situadas bajo su responsabilidad, asistan a las sesiones informativas y a las actividades de formación acordes con los riesgos existentes en su lugar de residencia.

2 Antes de recibir acceso a la información clasificada y, posteriormente, a intervalos regulares, el personal deberá ser instruido acerca de sus responsabilidades en materia de protección de la ICUE y aceptar esas responsabilidades de acuerdo con las normas establecidas conforme al artículo 3, apartado 1.

1 Todo fallo o sospecha de fallo en la seguridad deberá notificarse inmediatamente a la Dirección de Seguridad del SEAE, que informará de ese extremo a las autoridades competentes de la Comisión, la Secretaría General del Consejo o los Estados miembros, según corresponda.

2 Cuando se tenga conocimiento o sospecha fundada de que la información clasificada se ha visto expuesta a riesgo o se ha perdido, la Dirección de Seguridad del SEAE informará de ese extremo a la Dirección de Seguridad de la Comisión Europea, la Secretaría General del Consejo o los Estados miembros, según corresponda, y adoptará todas las medidas necesarias de acuerdo con las normas establecidas conforme al artículo 3, apartado 1.

3 Todo miembro del personal que sea responsable de un fallo en las normas de seguridad establecidas en la presente Decisión podrá ser objeto de medidas disciplinarias con arreglo a las disposiciones normativas y reglamentarias aplicables. Todo individuo que sea responsable de haber expuesto a riesgo o de perder información clasificada estará sujeto a medidas disciplinarias o legales de conformidad con las disposiciones legales, normativas y reglamentarias aplicables.

1 La Alta Representante será la Autoridad de Seguridad del SEAE. En tal calidad, la Alta Representante se asegurará de que: a) las medidas de seguridad se coordinan en la medida necesaria con las autoridades competentes de los Estados miembros, la Secretaría General del Consejo y la Comisión Europea y, cuando así proceda, con terceros países u organizaciones internacionales, en lo tocante a todos los aspectos de la seguridad pertinentes para las actividades del SEAE, incluida la naturaleza de las amenazas a la seguridad del personal, los bienes materiales y la información, y los medios de protección frente a las mismas; b) los aspectos de seguridad se tienen plenamente en cuenta desde el inicio de cualquiera de las actividades del SEAE; c) se requiere a todo el personal del SEAE una habilitación de seguridad del personal conforme a lo dispuesto en el artículo 5, apartado 2, antes de concedérsele acceso a la información clasificada de grado CONFIDENTIEL UE/EU CONFIDENTIAL, superior o equivalente; d) se establece en el SEAE un sistema de registro con fines de seguridad para asegurar que toda la información clasificada se maneja conforme a las normas establecidas con arreglo al artículo 3, apartado 1, y de que se mantiene un archivo de toda la información clasificada divulgada por el SEAE a terceros países y organizaciones internacionales y de toda la información clasificada recibida de terceros países u organizaciones internacionales; e) se efectúan las inspecciones de seguridad contempladas en el artículo 11; f) se efectúan investigaciones en relación con todo fallo o sospecha de fallo en la seguridad, incluidos el riesgo de pérdida o la pérdida de información clasificada que esté en poder o proceda del SEAE, y de que se solicita a las autoridades de seguridad competentes asistencia para dichas investigaciones; g) con el fin de reaccionar de forma oportuna y eficaz ante los incidentes de seguridad, se establecen los planes y mecanismos apropiados de gestión de los incidentes y sus consecuencias; h) se adoptan las medidas adecuadas en caso de incumplimiento de la presente Decisión por parte del personal.

2 La Alta Representante podrá establecer los dispositivos administrativos necesarios, especialmente con vistas al intercambio de información clasificada con terceros países o con organizaciones internacionales, sin perjuicio de lo dispuesto en el artículo 218, apartado 3, del Tratado de Funcionamiento de la Unión Europea. Antes de la aplicación de dichos mecanismos se consultará al Comité mencionado en el artículo 9, apartado 6.

3 El Secretario General Ejecutivo se asegurará de que en todas las dependencias del SEAE se adoptan las medidas físicas y logísticas necesarias para la protección y seguridad del personal y los visitantes, los bienes materiales y la información. Asistirán al Secretario General Ejecutivo en el desempeño de su tarea el Director General administrativo y la Dirección de Seguridad del SEAE.

4 El SEAE dispondrá de una Dirección de Seguridad responsable de organizar todas las cuestiones de seguridad en el SEAE, que se mantendrá a disposición de la Alta Representativa, conforme a su mandato y responderá ante ella cuando sea necesario. Conforme a lo establecido en el artículo 10, apartado 3, de la Decisión 2010/427/UE del Consejo, por la que se establece la organización y el funcionamiento del Servicio Europeo de acción Exterior, la Dirección de Seguridad contará con la asistencia de los servicios competentes de los Estados miembros.

5 El Jefe de cada Delegación de la Unión será responsable de la aplicación de todas las medidas relativas a la seguridad de la Delegación, así como de la gestión de la seguridad y la protección del personal y los visitantes, los bienes materiales y la información de la Delegación. Le asistirán en ese cometido la Dirección de Seguridad del SEAE, el personal de la Delegación que ejerza las tareas y funciones específicas y, cuando sea necesario, el personal de seguridad destinado en la Delegación.

6 Queda establecido un Comité de Seguridad. La Alta Representante recabará los dictámenes del Comité de Seguridad, que examinará y evaluará todas las cuestiones de seguridad incluidas en el ámbito de aplicación de la presente Decisión y efectuará las recomendaciones oportunas. El Comité de Seguridad estará integrado por expertos en seguridad representantes de cada Estado miembro, la Secretaría General del Consejo y la Dirección de Seguridad de la Comisión Europea. Estará presidido por la Alta Representante o por la persona en quien ésta delegue y se reunirá conforme disponga la Alta Representante o a instancia de cualquiera de sus miembros. El Comité de Seguridad organizará sus actividades de tal forma que sea capaz de emitir recomendaciones sobre cualquier aspecto específico de la seguridad que se sitúe en el ámbito de aplicación de la presente Decisión.

7 El Jefe de la Dirección de Seguridad del SEAE se reunirá periódicamente y siempre que lo considere necesario con el Director de Seguridad de la Secretaría General del Consejo y con el Director de la Dirección de Seguridad de la Comisión Europea a fin de tratar temas de interés común.

La responsabilidad de cada Jefe de Misión o del Representante Especial de la UE (REUE) en lo que respecta a la seguridad de la misión o el equipo se determina en la Decisión del Consejo por la que se establece la misión o se nombra al REUE. Cada Jefe de Misión o REUE podrá ser asistido por la Dirección de Seguridad del SEAE para asegurar la debida aplicación de la política aprobada por el Consejo en materia de seguridad del personal con funciones operativas desplegado en el exterior de la UE en virtud del Título V, Capítulo 2, del Tratado de la Unión Europea. Se establecerán los mecanismos de enlace necesarios para tal fin.

1 La Alta Representante se asegurará de que se efectúan inspecciones de seguridad para comprobar el cumplimiento de las disposiciones normativas y reglamentarias de seguridad dirigidas a proteger al personal, los bienes materiales y la información en el SEAE y en las misiones establecidas con arreglo al Título V, Capítulo 2 del TUE.

2 El SEAE podrá recurrir, en la medida necesaria, a los conocimientos especializados de los Estados miembros, la Secretaría General del Consejo y la Comisión Europea.

3 La Alta Representante adoptará un programa anual de inspecciones de seguridad.

La Dirección de Seguridad del SEAE asistirá al Secretario General Ejecutivo en la gestión de los aspectos relacionados con la seguridad de los procesos operativos del SEAE como parte de la planificación general de la continuidad de las actividades del SEAE.

La presente Decisión entrará en vigor en la fecha de su firma.