Decisión (UE, EURATOM) 2021/259 de la Comisión de 10 de febrero de 2021 por la que se establecen normas de desarrollo sobre la seguridad industrial en relación con las subvenciones clasificadas

1 La presente Decisión establece normas de desarrollo sobre la seguridad industrial en relación con las subvenciones clasificadas en el sentido de la Decisión (UE, Euratom) 2015/444, y en particular el capítulo 6 de dicha Decisión.

2 La presente Decisión establece requisitos específicos para garantizar la protección de la información clasificada de la UE (ICUE) en la publicación de convocatorias, en la concesión de subvenciones y en la ejecución de los acuerdos de subvención clasificados celebrados por la Comisión Europea.

3 La presente Decisión se refiere a las subvenciones que implican información clasificada de los grados siguientes: a) RESTREINT UE/EU RESTRICTED; b) CONFIDENTIEL UE/EU CONFIDENTIAL; c) SECRET UE/EU SECRET.

4 La presente Decisión se aplicará sin perjuicio de las normas específicas establecidas en otros actos jurídicos, como las relativas al Programa Europeo de Desarrollo Industrial en materia de Defensa.

1 Como parte de las responsabilidades del ordenador de la autoridad que concede la subvención a que se refiere el Reglamento (UE, Euratom) 2018/1046 del Parlamento Europeo y del Consejo, dicha persona se asegurará de que la subvención clasificada cumpla lo dispuesto en la Decisión (UE, Euratom) 2015/444 y sus normas de desarrollo.

2 A tal fin, el ordenador competente solicitará, en todas las fases, el dictamen de la autoridad de seguridad de la Comisión sobre las cuestiones relativas a los elementos de seguridad de un acuerdo de subvención, programa o proyecto clasificados, e informará al responsable local de seguridad acerca de los acuerdos de subvención clasificados que se hayan firmado. La decisión sobre el grado de clasificación de temas específicos corresponderá a la autoridad que concede la subvención y se tomará teniendo debidamente en cuenta la guía de clasificación de seguridad.

3 Cuando se apliquen las instrucciones de seguridad del programa o proyecto a que se refiere el artículo 5, apartado 3, la autoridad que concede la subvención y la autoridad de seguridad de la Comisión desempeñarán las responsabilidades que se les asignan en dichas instrucciones.

4 Desde el respeto de los requisitos de las presentes normas de desarrollo, la autoridad de seguridad de la Comisión colaborará con las autoridades nacionales de seguridad (ANS) y las autoridades de seguridad designadas (ASD) de los Estados miembros en cuestión, en particular en lo que se refiere a las habilitaciones de seguridad de establecimiento (HSE), las habilitaciones personales de seguridad (HPS), los procedimientos de visita y los planes de transporte.

5 Cuando las subvenciones sean gestionadas por agencias ejecutivas u otros organismos de financiación de la UE y no se apliquen las normas específicas establecidas en otros actos jurídicos mencionados en el artículo 1, apartado 4: a) el servicio delegante de la Comisión ejercerá los derechos relativos al originador de la ICUE generada en el contexto de las subvenciones, si así lo disponen los acuerdos de delegación; b) el servicio delegante de la Comisión se encargará de determinar la clasificación de seguridad; c) las solicitudes de información sobre la habilitación de seguridad y las notificaciones a las ANS o ASD se enviarán a través de la autoridad de seguridad de la Comisión.

1 Las partes clasificadas de las subvenciones serán ejecutadas únicamente por beneficiarios registrados en un Estado miembro o por beneficiarios registrados en un tercer país o creados por una organización internacional cuando dicho tercer país u organización internacional haya celebrado un acuerdo sobre seguridad de la información con la Unión o suscrito un acuerdo administrativo con la Comisión .

2 Antes de publicar la convocatoria de una subvención clasificada, la autoridad que concede la subvención determinará la clasificación de seguridad de toda la información que pueda proporcionarse a los solicitantes. La autoridad que concede la subvención determinará asimismo la clasificación de seguridad máxima de la información que pueda utilizarse o generarse durante la ejecución del acuerdo de subvención, programa o proyecto, o, como mínimo, el volumen y el tipo de información que se prevé que se producirá o manejará, y el grado de necesidad de un sistema de información y comunicaciones (SIC) clasificado.

3 La autoridad que concede la subvención se asegurará de que las convocatorias de subvenciones clasificadas proporcionen información sobre las obligaciones especiales en materia de seguridad relacionadas con la información clasificada. La documentación de la convocatoria incluirá aclaraciones sobre el calendario para que los beneficiarios obtengan las HSE, en caso necesario. Los anexos I y II contienen ejemplos de modelos para la información relativa a las condiciones de las convocatorias.

4 La autoridad que concede la subvención se asegurará de que la información clasificada de grado RESTREINT UE/EU RESTRICTED, CONFIDENTIEL UE/EU CONFIDENTIAL y SECRET UE/EU SECRET se ponga en conocimiento de los solicitantes únicamente después de que estos hayan firmado un acuerdo de confidencialidad que los obligue a manejar y proteger la ICUE de conformidad con la Decisión (UE, Euratom) 2015/444, sus normas de desarrollo y la legislación nacional aplicable.

5 Cuando se proporcione información de grado RESTREINT UE/EU RESTRICTED a los solicitantes, los requisitos mínimos mencionados en el artículo 5, apartado 7, de la presente Decisión se incluirán en la convocatoria o en los acuerdos de confidencialidad celebrados durante la fase de propuesta.

6 Todos los solicitantes y beneficiarios que deban manejar o almacenar información clasificada de grado CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET en sus instalaciones, ya sea en la fase de propuesta o durante la ejecución del propio acuerdo de subvención clasificado, dispondrán de una HSE del grado requerido, excepto en los casos mencionados en el apartado 9. A continuación, se especifican los tres supuestos que pueden darse durante la fase de propuesta de una subvención clasificada que incluya ICUE de grado CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET: a) No se concede acceso a ICUE de grado CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET durante la fase de propuesta: cuando la convocatoria se refiera a una subvención que incluirá ICUE de grado CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET, pero no requiera que el solicitante maneje dicha información en la fase de propuesta, el solicitante que no disponga de una HSE del grado exigido no será excluido del proceso de licitación por ese motivo. b) Se concede acceso a ICUE de grado CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET en los locales de la autoridad que concede la subvención durante la fase de propuesta: se concederá acceso al personal del solicitante que esté en posesión de una HPS del grado exigido y que tenga necesidad de conocer la información. c) Se maneja o almacena ICUE de grado CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET en los locales del solicitante durante la fase de propuesta: cuando la convocatoria requiera que los solicitantes manejen o almacenen ICUE en sus locales, el solicitante deberá disponer de una HSE del grado exigido. En tales circunstancias, la autoridad que concede la subvención obtendrá, a través de la autoridad de seguridad de la Comisión, una garantía de la ANS o ASD correspondiente de que al solicitante se le ha concedido una HSE adecuada antes de que se le facilite material con ICUE. Se concederá acceso al personal del solicitante que esté en posesión de una HPS del grado exigido y que tenga necesidad de conocer la información.

7 En principio, no se exigirá una HSE o una HPS para acceder a información de grado RESTREINT UE/EU RESTRICTED, ya sea en la fase de propuesta o para la ejecución del acuerdo de subvención. Cuando los Estados miembros exijan una HSE o una HPS para los acuerdos de subvención de grado RESTREINT UE/EU RESTRICTED en virtud de sus disposiciones legales y reglamentarias nacionales, que se enumeran en el anexo IV, dichos requisitos nacionales no podrán imponer obligaciones adicionales a los demás Estados miembros o excluir a los solicitantes, beneficiarios o subcontratistas de los Estados miembros que no dispongan de tales requisitos de HSE o HPS para el acceso a información de grado RESTREINT UE/EU RESTRICTED de los acuerdos de subvención o subcontratos correspondientes o de competir para que se les adjudiquen. Dichos acuerdos de subvención se ejecutarán en los Estados miembros de conformidad con sus disposiciones legales y reglamentarias nacionales.

8 Cuando se requiera una HSE para la tramitación de una convocatoria y para la ejecución de un acuerdo de subvención clasificado, la autoridad que concede la subvención presentará, a través de la autoridad de seguridad de la Comisión, una solicitud a la ANS o ASD del beneficiario utilizando una ficha de información sobre la habilitación de seguridad de establecimiento o cualquier formulario electrónico equivalente establecido. El anexo III, apéndice D, contiene un ejemplo de ficha de información sobre la habilitación de seguridad de establecimiento . La respuesta a una ficha de información sobre la habilitación de seguridad de establecimiento se proporcionará, en la medida de lo posible, en un plazo de diez días laborables a partir de la fecha de la solicitud.

9 Cuando los establecimientos gubernamentales de los Estados miembros o los establecimientos bajo su control oficial participen en subvenciones clasificadas que requieran HSE, y cuando no se expidan HSE para dichos establecimientos con arreglo a la legislación nacional, la autoridad que concede la subvención comprobará con la ANS o la ASD de que se trate, a través de la autoridad de seguridad de la Comisión, si dichos establecimientos gubernamentales son capaces de manejar ICUE del grado requerido.

10 Cuando se requiera una HPS para la ejecución de un acuerdo de subvención clasificado y cuando, con arreglo a las normas nacionales, sea necesaria una HSE antes de conceder una HPS, la autoridad que concede la subvención comprobará con la ANS o ASD del beneficiario, a través de la autoridad de seguridad de la Comisión, utilizando una ficha de información sobre la habilitación de seguridad de establecimiento, que el beneficiario disponga de una HSE o que el proceso de la HSE esté en curso. En este caso, la Comisión no expedirá solicitudes de HPS utilizando la ficha de información sobre la habilitación personal de seguridad.

1 Las condiciones en las que los beneficiarios podrán subcontratar tareas que impliquen ICUE se definirán en la convocatoria y en el acuerdo de subvención. Estas condiciones incluirán el requisito de que todas las fichas de información sobre la habilitación de seguridad de establecimiento se presenten a través de la autoridad de seguridad de la Comisión. La subcontratación estará supeditada al consentimiento previo por escrito de la autoridad que concede la subvención. En su caso, la subcontratación se ajustará al acto de base por el que se establezca el programa.

2 Las partes clasificadas de las subvenciones serán subcontratadas únicamente a entidades registradas en un Estado miembro o a entidades registradas en un tercer país o creadas por una organización internacional cuando dicho tercer país u organización internacional haya celebrado un acuerdo sobre seguridad de la información con la Unión o suscrito un acuerdo administrativo con la Comisión .

1 Al adjudicar una subvención clasificada, la autoridad que concede la subvención, junto con la autoridad de seguridad de la Comisión, se asegurará de que las obligaciones del beneficiario relativas a la protección de la ICUE utilizada o generada durante la ejecución del acuerdo de subvención formen parte de dicho acuerdo. Los requisitos de seguridad específicos de la subvención se describirán en la cláusula sobre aspectos de la seguridad. En el anexo III figura un ejemplo de modelo de cláusula sobre aspectos de la seguridad.

2 Antes de firmar una subvención clasificada, la autoridad que concede la subvención aprobará una guía de clasificación de seguridad en relación con las tareas que deberán realizarse y la información generada durante la ejecución de la subvención o, en su caso, a nivel de programa o proyecto. La cláusula sobre aspectos de la seguridad incluirá la guía de clasificación de seguridad.

3 Los requisitos de seguridad específicos del programa o proyecto se describirán en las instrucciones de seguridad del programa (o proyecto). Las instrucciones de seguridad de un programa o proyecto podrán redactarse utilizando las disposiciones del modelo de la cláusula sobre aspectos de la seguridad que figura en el anexo III. El servicio de la Comisión que gestione el programa o proyecto elaborará, con la colaboración de la autoridad de seguridad de la Comisión, las ISP, que se someterán al dictamen del grupo de expertos en seguridad de la Comisión. Cuando un acuerdo de subvención sea parte de un programa o proyecto que tenga sus propias instrucciones de seguridad de programa o proyecto, la cláusula sobre aspectos de la seguridad del acuerdo de subvención adoptará una forma simplificada e incluirá una referencia a las disposiciones en materia de seguridad establecidas en las instrucciones de seguridad del programa o proyecto.

4 Excepto en los casos mencionados en el artículo 3, apartado 9, el acuerdo de subvención clasificado no se firmará hasta que la ANS o ASD del solicitante haya confirmado la HSE del solicitante o, cuando el acuerdo de subvención clasificado se adjudique a un consorcio, hasta que la ANS o ASD de al menos un solicitante, dentro del consorcio, o, en caso necesario, de más de un solicitante, haya confirmado la HSE del solicitante.

5 En principio, y salvo disposición en contrario en otras normas pertinentes, la autoridad que concede la subvención será considerada la originadora de la ICUE generada en la ejecución del acuerdo de subvención.

6 La autoridad que concede la subvención notificará, a través de la autoridad de seguridad de la Comisión, a las ANS y/o ASD de todos los beneficiarios y subcontratistas la firma de acuerdos de subvención o subcontratos clasificados y los casos de extinción anticipada o las prórrogas de dichos acuerdos o subcontratos. En el anexo IV figura una lista de requisitos por países.

7 Los acuerdos de subvención que incluyan información clasificada de grado RESTREINT UE/EU RESTRICTED contendrán una cláusula de seguridad que haga vinculantes para los beneficiarios las disposiciones del anexo III, apéndice E. Estos acuerdos de subvención incluirán una cláusula sobre aspectos de la seguridad en la que se indiquen, como mínimo, los requisitos de manejo de información de grado RESTREINT UE/EU RESTRICTED, en particular los aspectos de garantía de la información y los requisitos específicos que debe cumplir el beneficiario para la acreditación del SIC del beneficiario que maneje la información de grado RESTREINT UE/EU RESTRICTED.

8 Cuando así lo exijan las disposiciones legales y reglamentarias de los Estados miembros, las ANS o ASD se asegurarán de que los beneficiarios o subcontratistas del ámbito de su competencia cumplan las disposiciones de seguridad aplicables para la protección de la información de grado RESTREINT UE/EU RESTRICTED y realizarán visitas de verificación a las instalaciones de los beneficiarios o subcontratistas situadas en su territorio. Cuando la ANS o la ASD no esté sujeta a dicha obligación, la autoridad que concede la subvención se asegurará de que los beneficiarios apliquen las disposiciones de seguridad exigidas según lo dispuesto en el anexo III, apéndice E.

1 La autoridad que concede la subvención se asegurará de que los acuerdos de subvención clasificados contengan disposiciones que establezcan que al personal del beneficiario o subcontratista que necesite acceder a la ICUE para la ejecución del acuerdo de subvención o subcontrato clasificado solo se le concederá dicho acceso si: a) se ha corroborado que tiene necesidad de conocer la información; b) en el caso de la información clasificada de grado CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET, la ANS o ASD correspondiente o cualquier otra autoridad de seguridad competente le ha concedido una habilitación de seguridad del grado correspondiente; c) ha sido instruido sobre las normas de seguridad aplicables para la protección de la ICUE y ha aceptado sus responsabilidades en lo que respecta a la protección de dicha información.

2 Cuando proceda, el acceso a la ICUE también se ajustará al acto de base por el que se establezca el programa y tendrá en cuenta cualquier marca adicional definida en la guía de clasificación de seguridad.

3 Si un beneficiario o subcontratista desea emplear a un nacional de un tercer país en un puesto que requiera el acceso a ICUE de grado CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET, será responsabilidad del beneficiario o subcontratista iniciar el procedimiento de habilitación de seguridad de dicha persona, de conformidad con las disposiciones legales y reglamentarias nacionales aplicables en el lugar en que vaya a concederse el acceso a la ICUE.

1 Cuando en controles, revisiones o auditorías llevadas a cabo por la autoridad que concede la subvención o en revisiones de rendimiento de los beneficiarios que requieran acceso a información clasificada de grado CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET participen personas externas («expertos»), solo se proporcionará un contrato a estas personas si han obtenido una habilitación de seguridad del grado pertinente expedido por la ANS o ASD respectiva o cualquier otra autoridad de seguridad competente. La autoridad que concede la subvención, a través de la autoridad de seguridad de la Comisión, comprobará y, en caso necesario, pedirá a la ANS o ASD que inicie el proceso de verificación de expertos al menos seis meses antes del inicio de sus respectivos contratos.

2 Antes de la firma de sus contratos, los expertos serán instruidos sobre las normas de seguridad aplicables para la protección de la ICUE y habrán aceptado sus responsabilidades en lo que respecta a la protección de dicha información.

1 Cuando la autoridad que concede la subvención, los expertos, los beneficiarios o los subcontratistas necesiten acceder a información clasificada de grado CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET que se halle en los locales de otra de las partes en el contexto de la ejecución de un acuerdo de subvención clasificado, se organizarán visitas, con la colaboración de las ANS, las ASD o cualesquiera otras autoridades de seguridad competentes.

2 Las visitas a que se refiere el apartado 1 estarán sujetas a los requisitos siguientes: a) la visita tendrá una finalidad oficial relacionada con la subvención clasificada; b) todos los visitantes deberán estar en posesión de una HPS del grado exigido y tener necesidad de conocer la información para acceder a la ICUE utilizada o generada durante la ejecución de una subvención clasificada.

1 Las visitas de los beneficiarios o subcontratistas a las instalaciones de otros beneficiarios o subcontratistas o a los locales de la autoridad que concede la subvención que impliquen el acceso a información clasificada de grado CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET se organizarán con arreglo al procedimiento siguiente: a) El responsable de seguridad de la instalación que envía al visitante cumplimentará todas las partes pertinentes del formulario de solicitud de visita (SdV) y presentará la solicitud a la ANS o ASD de la instalación. En el anexo III, apéndice C, figura un modelo de SdV. b) La ANS o ASD de la instalación que envía al visitante deberá confirmar la HPS del visitante antes de presentar la SdV a la ANS o ASD de la instalación que lo recibe (o la autoridad de seguridad de la Comisión si la visita se realiza en los locales de una autoridad que concede la subvención). c) El responsable de seguridad de la instalación que envía al visitante recibirá entonces de su ANS o ASD la respuesta de la ANS o ASD de la instalación que lo recibe (o de la autoridad de seguridad de la Comisión) por la que se autorice o deniegue la SdV. d) Una SdV se considerará aprobada si no se presentan objeciones hasta cinco días laborables antes de la fecha de la visita.

2 Las visitas de los funcionarios, expertos o auditores de la autoridad que concede la subvención a las instalaciones de los beneficiarios o subcontratistas que impliquen el acceso a información clasificada de grado CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET se organizarán con arreglo al procedimiento siguiente: a) El visitante cumplimentará todas las partes pertinentes de la SdV y la presentará a la autoridad de seguridad de la Comisión. b) La autoridad de seguridad de la Comisión confirmará la HPS del visitante antes de remitir la SdV a la ANS o ASD de la instalación que lo recibe. c) La autoridad de seguridad de la Comisión recibirá una respuesta de la ANS o ASD de la instalación que recibe la visita por la que se autorice o deniegue la SdV. d) Una SdV se considerará aprobada si no se presentan objeciones hasta cinco días laborables antes de la fecha de la visita.

3 Una SdV puede abarcar una única visita o visitas periódicas. En caso de visitas periódicas, la SdV podrá tener una validez máxima de un año a partir de la fecha de inicio solicitada.

4 La validez de una SdV no excederá la validez de la HPS del visitante.

5 Por regla general, las SdV deberán presentarse a la autoridad de seguridad competente de la instalación que recibe la visita al menos quince días laborables antes de la fecha de esta.

1 Antes de permitir que los visitantes tengan acceso a ICUE, el responsable de seguridad de la instalación que recibe la visita deberá cumplir todos los procedimientos y normas de seguridad en materia de visitas establecidos por su ANS o ASD.

2 Los visitantes acreditarán su identidad al llegar a la instalación que los recibirá presentando un documento de identidad o pasaporte válido. Dicha información de identificación se corresponderá con la información proporcionada en la SdV.

3 La instalación que recibe la visita se asegurará de que se lleve un registro de todos los visitantes, en el que figurarán sus nombres y apellidos, la organización a la que representan, la fecha de caducidad de la HPS, la fecha de la visita y los nombres y apellidos de las personas visitadas. Este registro se conservará durante un período mínimo de cinco años, o más si así lo exigen las disposiciones normativas y reglamentarias del país en el que se encuentre la instalación que recibe la visita.

1 Cuando se trate de proyectos específicos, las ANS o ASD pertinentes y la autoridad de seguridad de la Comisión podrán acordar un procedimiento por el que las visitas en relación con una subvención clasificada específica puedan ser organizadas directamente por el responsable de seguridad del visitante y el responsable de seguridad de la instalación que se vaya a visitar. En el anexo III, apéndice C, figura una modelo del formulario que debe utilizarse a tal fin. Dicho procedimiento excepcional se recogerá en las instrucciones de seguridad de un programa o proyecto o en otros acuerdos específicos. En estos supuestos, no serán de aplicación los procedimientos establecidos en el artículo 9 y el artículo 10, apartado 1.

2 Las visitas que impliquen el acceso a información clasificada de grado RESTREINT UE/EU RESTRICTED serán organizadas directamente por la entidad que envía al visitante y la que lo recibe, sin necesidad de seguir los procedimientos establecidos en el artículo 9 y el artículo 10, apartado 1.

La autoridad que concede la subvención se asegurará de que todas las decisiones relativas a la transmisión y el transporte de ICUE se ajusten a la Decisión (UE, Euratom) 2015/444 y sus normas de desarrollo, así como a las cláusulas del acuerdo de subvención clasificado, incluido el consentimiento del originador.

1 El manejo y la transmisión electrónicos de ICUE se realizarán de conformidad con los capítulos 5 y 6 de la Decisión (UE, Euratom) 2015/444 y sus normas de desarrollo. El sistema de información y comunicaciones que sea propiedad de un beneficiario y se utilice para manejar la ICUE necesaria para la ejecución del acuerdo de subvención (SIC del beneficiario) tendrá que ser acreditado por la autoridad de acreditación de seguridad (AAS) competente. Toda transmisión electrónica de ICUE se protegerá con productos criptológicos aprobados de conformidad con el artículo 36, apartado 4, de la Decisión (UE, Euratom) 2015/444. Las medidas de seguridad TEMPEST se ejecutarán de conformidad con el artículo 36, apartado 6, de dicha Decisión.

2 La acreditación de seguridad del SIC del beneficiario que maneje ICUE de grado RESTREINT UE/EU RESTRICTED y cualquier interconexión de este podrán delegarse en el responsable de seguridad del beneficiario si así lo permiten las disposiciones legales y reglamentarias nacionales. Cuando esta tarea sea delegada, el beneficiario será responsable de respetar los requisitos mínimos de seguridad descritos en la cláusula sobre aspectos de la seguridad al manejar información de grado RESTREINT UE/EU RESTRICTED en su SIC. Sin embargo, las ANS, las ASD y las AAS pertinentes seguirán siendo responsables de la protección de la información de grado RESTREINT UE/EU RESTRICTED que manejen los beneficiarios y seguirán gozando de la facultad de examinar las medidas de seguridad adoptadas por los beneficiarios. Además, el beneficiario remitirá a la autoridad que concede la subvención, y, cuando así lo exijan las disposiciones legales y reglamentarias nacionales, a la AAS nacional competente, una declaración de conformidad que certifique que el SIC del beneficiario y las interconexiones correspondientes han sido acreditados para el manejo de la ICUE de grado RESTREINT UE/EU RESTRICTED .

El transporte de la ICUE por correo comercial se ajustará a las disposiciones pertinentes de la Decisión (UE, Euratom) 2019/1962 de la Comisión , por la que se establecen las normas de desarrollo aplicables al manejo de la información RESTREINT UE/EU RESTRICTED, y de la Decisión (UE, Euratom) 2019/1961 de la Comisión , por la que se establecen las normas de desarrollo aplicables al manejo de la información CONFIDENTIEL UE/EU CONFIDENTIAL y SECRET UE/EU SECRET.

1 El transporte en mano de información clasificada estará sujeto a requisitos estrictos de seguridad.

2 La información de grado RESTREINT UE/EU RESTRICTED podrá ser transportada en mano por el personal del beneficiario dentro de la Unión siempre que se cumplan los siguientes requisitos: a) que el sobre o empaquetado utilizado sea opaco y no indique la clasificación de su contenido; b) que la información clasificada esté en todo momento en posesión del portador; c) que el sobre o empaquetado no se abra en tránsito.

3 En el caso de la información clasificada de grado CONFIDENTIEL UE/EU CONFIDENTIAL y SECRET UE/EU SECRET, el transporte en mano por parte del personal del beneficiario dentro de un Estado miembro será organizado por adelantado por las entidades de origen y de destino. La autoridad o instalación emisora informará a la autoridad o instalación receptora de los datos del envío, incluidos la referencia, la clasificación, la hora prevista de llegada y el nombre del mensajero. Este transporte en mano se permitirá siempre que se cumplan los siguientes requisitos: a) que la información clasificada se transporte en un sobre o empaquetado doble; b) que el sobre o empaquetado exterior esté protegido y no indique la clasificación de su contenido, pero que el sobre interior sí indique el grado de clasificación; c) que la ICUE esté en todo momento en posesión del portador; d) que el sobre o empaquetado no se abra en tránsito; e) que el sobre o empaquetado se transporte en un maletín con cerradura o en un objeto homologado similar del mismo tamaño y peso que el portador pueda llevar consigo en todo momento y que no haya que facturar como equipaje; f) que el mensajero lleve un certificado de correo expedido por su autoridad de seguridad competente por el que se le autorice a transportar el envío clasificado de que se trate.

4 Para el transporte en mano de información clasificada de grado CONFIDENTIEL UE/EU CONFIDENTIAL y SECRET UE/EU SECRET de un Estado miembro a otro por parte del personal del beneficiario, se aplicarán las siguientes normas adicionales: a) el mensajero será responsable de la custodia del material clasificado hasta su entrega al destinatario; b) en caso de fallo de seguridad, la ANS o ASD del remitente podrá solicitar que las autoridades del país en que se haya producido el fallo lleven a cabo una investigación, comuniquen sus conclusiones y emprendan acciones legales o de otro tipo, según proceda; c) el mensajero será informado de todas las obligaciones en materia de seguridad que deban observarse durante el transporte y firmará una declaración de conocimiento de tales obligaciones; d) las instrucciones para el mensajero se adjuntarán al certificado de correo; e) el mensajero deberá disponer de una descripción del envío y un itinerario; f) los documentos se devolverán a la ANS o ASD emisora al finalizar el trayecto o trayectos, o el destinatario los conservará a efectos de controles ulteriores; g) si las autoridades aduaneras, las autoridades de inmigración o la policía de fronteras solicitan examinar e inspeccionar el envío, se les permitirá abrir y observar suficientes partes del envío como para cerciorarse de que no contienen ningún material distinto del declarado; h) deberá instarse a las autoridades aduaneras a que respeten la autoridad oficial de los documentos enviados y los documentos de autorización transportados por el mensajero. Si las autoridades aduaneras abren un envío, deberá hacerse fuera de la vista de las personas no autorizadas y en presencia del mensajero cuando sea posible. El mensajero solicitará que se vuelva a empaquetar el envío y pedirá a las autoridades que lleven a cabo la inspección que vuelvan a precintar el envío y que confirmen por escrito que lo han abierto.

5 El transporte en mano de información clasificada de grado RESTREINT UE/EU RESTRICTED, CONFIDENTIEL UE/EU CONFIDENTIAL y SECRET UE/EU SECRET por parte del personal del beneficiario a un tercer país o a una organización internacional estará sujeto a las disposiciones del acuerdo sobre seguridad de la información o del acuerdo administrativo celebrado entre, respectivamente, la Unión o la Comisión y dicho tercer país u organización internacional.

La autoridad que concede la subvención se asegurará de que el acuerdo de subvención clasificado obligue al beneficiario a establecer planes de contingencia empresarial para proteger, en situaciones de emergencia, la ICUE manejada en el contexto de la subvención clasificada, y a establecer medidas preventivas y de recuperación en el contexto de la planificación de la continuidad de la actividad a fin de minimizar el efecto de los incidentes relacionados con el manejo y el almacenamiento de la ICUE. Los beneficiarios confirmarán a la autoridad que concede la subvención la existencia de sus planes de contingencia empresarial.

La presente Decisión entrará en vigor a los veinte días de su publicación en el Diario Oficial de la Unión Europea.