Beschluss des Hohen Vertreters der Union für Außen- und Sicherheitspolitik vom 19. Juni 2023 über die Sicherheitsvorschriften für den Europäischen Auswärtigen Dienst 2023/C 263/04

In diesem Beschluss werden die Sicherheitsvorschriften für den Europäischen Auswärtigen Dienst (im Folgenden „EAD-Sicherheitsvorschriften“) festgelegt. Dieser Beschluss gilt nach Artikel 10 Absatz 1 des Beschlusses 2010/427/EU des Rates für das gesamte Personal des EAD und das gesamte Personal der Delegationen der Union, unabhängig von ihrer dienstrechtlichen Stellung oder Herkunft, und durch ihn wird der allgemeine Regelungsrahmen geschaffen, um den Risiken für das dem EAD unterstehende Personal gemäß Artikel 2, für die Räumlichkeiten des EAD, seine materiellen Werte, seine Informationen und seine Besucher effektiv entgegenzuwirken.

Für die Zwecke dieses Beschlusses bezeichnet der Ausdruck a) „Personal des EAD“ Beamte des EAD und sonstige Bedienstete der Europäischen Union, einschließlich zu Bediensteten auf Zeit ernannter Mitglieder des Personals der diplomatischen Dienste der Mitgliedstaaten, sowie abgeordnete nationale Sachverständige gemäß Artikel 6 Absätze 2 und 3 des Beschlusses 2010/427/EU des Rates; b) „dem EAD unterstehendes Personal“ das Personal des EAD in der Zentrale und den Delegationen der Union sowie das gesamte sonstige Personal in den Delegationen der Union, unabhängig von dessen dienstrechtlicher Stellung oder Herkunft, sowie im Rahmen dieses Beschlusses der Hohe Vertreter und gegebenenfalls sonstiges Personal, das in Räumlichkeiten der EAD-Zentrale tätig ist; c) „berechtigte Angehörige“ die beim Außenministerium des Gastlandes gemeldeten und im Haushalt lebenden Familienmitglieder des dem EAD unterstehenden Personals in Delegationen der Union, die sich zum Zeitpunkt einer Evakuierung des Landes tatsächlich bei und mit diesem Personal am Ort der dienstlichen Verwendung aufhalten; d) „Räumlichkeiten des EAD“ alle Einrichtungen des EAD, einschließlich aller Gebäude, Büros, Räume und sonstigen Bereiche, sowie die Bereiche, in denen Kommunikations- und Informationssysteme (auch solche zur Bearbeitung von EU-VS) untergebracht sind, die vom EAD ständig oder zeitweilig für die Ausübung seiner Tätigkeiten genutzt werden; e) „Sicherheitsinteressen des EAD“ das dem EAD unterstehende Personal, Räumlichkeiten des EAD, Angehörige, materielle Werte einschließlich Kommunikations- und Informationssystemen, Informationen und Besucher; f) „EU-VS“ alle mit einem EU-Geheimhaltungsgrad gekennzeichneten Informationen oder gekennzeichnetes Material, deren bzw. dessen unbefugte Offenlegung den Interessen der Europäischen Union oder eines oder mehrerer ihrer Mitgliedstaaten in unterschiedlichem Maße schaden könnte; g) „Delegation der Union“ Delegationen in Drittländern und bei internationalen Organisationen im Sinne von Artikel 1 Absatz 4 des Beschlusses 2010/427/EU des Rates sowie Einrichtungen der EU gemäß Artikel 5 des Beschlusses 2010/427/EU des Rates. Weitere Begriffsbestimmungen für die Zwecke des vorliegenden Beschlusses sind in den jeweiligen Anhängen sowie in Anlage A festgelegt.

1 Die EAD-Sicherheitsvorschriften gewährleisten, dass der Sorgfaltspflicht des EAD und seiner diesbezüglichen Verantwortung nachgekommen wird.

2 Die Sorgfaltspflicht des EAD bezeichnet die Verpflichtung, mit der gebotenen Sorgfalt alle geeigneten Maßnahmen zur Umsetzung der Sicherheitsmaßnahmen zu ergreifen, um jeden nach vernünftigem Ermessen vorhersehbaren Schaden von den Sicherheitsinteressen des EAD abzuwenden. Dazu gehören sowohl Schutz- als auch Sicherheitsmaßnahmen, einschließlich Maßnahmen in Not- oder Krisensituationen, gleich welcher Art.

3 Um der Sorgfaltspflicht der Mitgliedstaaten, der EU-Organe und -Einrichtungen und anderer Parteien, deren Personal in Delegationen der Union und/oder Räumlichkeiten dieser Delegationen tätig ist, sowie der Sorgfaltspflicht des EAD für Delegationen der Union, die in Räumlichkeiten der vorstehend genannten anderen Parteien eingerichtet sind, Rechnung zu tragen, schließt der EAD mit jeder dieser Parteien Verwaltungsvereinbarungen, in denen die jeweiligen Funktionen und Zuständigkeiten, Aufgaben und Kooperationsmechanismen festgelegt sind.

1 Der EAD trifft alle geeigneten (dauerhaften oder vorübergehenden) Maßnahmen für den materiellen Geheimschutz, einschließlich Zugangskontrollen, in allen Räumlichkeiten des EAD, um die Sicherheitsinteressen des EAD zu schützen. Diesen Maßnahmen wird beim Entwurf und der Planung neuer Räumlichkeiten und vor der Anmietung bereits bestehender Räumlichkeiten Rechnung getragen.

2 Dem Personal, das dem EAD untersteht, und den Angehörigen können aus Sicherheitsgründen für einen bestimmten Zeitraum und in bestimmten Bereichen besondere Pflichten oder Beschränkungen auferlegt werden.

3 Die Maßnahmen nach den Absätzen 1 und 2 müssen dem festgestellten Risiko entsprechen.

1 Es ist Sache der Sicherheitsbehörde des EAD im Sinne von Artikel 13 Abschnitt 1 Absatz 1, im Vorgriff oder als Reaktion auf Bedrohungen und Vorfälle, die die Sicherheit des EAD beeinträchtigen, Alarmstufen festzulegen und geeignete Alarmstufen-Maßnahmen einzuführen.

2 Die in Absatz 1 genannten Alarmstufen-Maßnahmen entsprechen der jeweiligen Stufe der Sicherheitsbedrohung. Die Alarmstufen werden von der Sicherheitsbehörde des EAD in enger Zusammenarbeit mit den zuständigen Dienststellen anderer Organe, Einrichtungen und Agenturen der Union und des Mitgliedstaats oder der Mitgliedstaaten, in dem bzw. denen sich die Räumlichkeiten des EAD befinden, definiert.

3 Die Sicherheitsbehörde des EAD ist die Kontaktstelle für Alarmstufen und für die Krisenreaktion. Die Sicherheitsbehörde des EAD kann damit verbundene Aufgaben, die die EAD-Zentrale betreffen, dem Generaldirektor für Ressourcenverwaltung im Sinne von Artikel 4 Absatz 3 Buchstabe a zweiter Spiegelstrich des Beschlusses 2010/427/EU des Rates und damit verbundene Aufgaben, die die Delegationen der Union betreffen, dem Direktor des Krisenreaktionszentrums übertragen.

1 Für den Schutz von EU-VS gelten die in diesem Beschluss, insbesondere in Anhang A, festgelegten Vorschriften. Der Besitzer jedweder EU-VS ist für den entsprechenden Schutz dieser EU-VS verantwortlich.

2 Der EAD gewährleistet, dass der Zugang zu Verschlusssachen nur Personen gewährt wird, die die Anforderungen gemäß Anhang A Artikel 5 erfüllen.

3 Im Einklang mit den Vorschriften über den Schutz von EU-VS in Anhang A legt der Hohe Vertreter auch die Voraussetzungen fest, unter denen örtliche Bedienstete Zugang zu EU-VS erhalten.

4 Der EAD sorgt für die Verwaltung des Sicherheitsstatus des gesamten dem EAD unterstehenden Personals sowie der Auftragnehmer des EAD.

5 Bringt ein Mitgliedstaat Verschlusssachen, die mit einem nationalen Geheimhaltungsgrad gekennzeichnet sind, in die Strukturen oder Netze des EAD ein, so schützt der EAD diese Verschlusssachen nach Maßgabe der Anforderungen, die für EU-VS mit gleichwertigem Geheimhaltungsgrad gemäß der Entsprechungstabelle in Anlage B gelten.

6 Die Bereiche im EAD, in denen als „CONFIDENTIEL UE/EU CONFIDENTIAL“ oder höher oder mit entsprechendem Geheimhaltungsgrad eingestufte Verschlusssachen aufbewahrt werden, werden im Einklang mit den Vorschriften nach Anhang A II als abgesicherte Bereiche eingerichtet und von der Sicherheitsbehörde des EAD genehmigt.

7 Die Verfahren, nach denen der Hohe Vertreter seine Aufgaben im Rahmen von Abkommen oder Verwaltungsvereinbarungen über den Austausch von EU-VS mit Drittstaaten oder internationalen Organisationen wahrnimmt, sind in den Anhängen A und A VI aufgeführt.

8 Der Generalsekretär legt die Bedingungen fest, unter denen der EAD in seinem Besitz befindliche EU-VS an andere Organe, Einrichtungen oder sonstige Stellen der Union weitergibt. Dazu wird ein geeigneter Rahmen geschaffen, unter anderem gegebenenfalls durch entsprechende interinstitutionelle oder sonstige Vereinbarungen.

9 Mit einem solchen Rahmen wird sichergestellt, dass EU-VS ihrem Geheimhaltungsgrad entsprechend sowie nach Grundsätzen und Mindeststandards geschützt werden, die den in diesem Beschluss festgelegten Grundsätzen und Mindeststandards gleichwertig sind.

1 Um eine rasche und wirksame Reaktion auf einen Sicherheitsvorfall zu gewährleisten, legt der EAD ein Verfahren für die Meldung solcher Vorfälle und Notfälle fest, das rund um die Uhr, sieben Tage die Woche und bei jeglicher Art von Sicherheitsvorfällen oder Bedrohungen der Sicherheitsinteressen des EAD (z. B. durch Unfälle, Konflikte, böswillige Handlungen, Straftaten, Entführungen und Geiselnahmen oder medizinische Notfälle, Störungen der Kommunikations- und Informationssysteme, Cyber-Angriffe usw.) einsatzbereit ist.

2 Zwischen der EAD-Zentrale, den Delegationen der Union, dem Rat, der Kommission, den EU-Sonderbeauftragten und den Mitgliedstaaten werden Kanäle für die Notfallkommunikation eingerichtet, um sie bei der Reaktion auf Krisen, Sicherheitsvorfälle und Notfälle, von denen das Personal betroffen ist, und der Bewältigung von deren Folgen zu unterstützen; dies schließt auch die Notfallplanung ein.

3 Die Reaktion auf Sicherheitsvorfälle/ Notfälle/ Krisen umfasst unter anderem Verfahren zur wirksamen Unterstützung der Beschlussfassung im Zusammenhang mit Bedrohungen, Sicherheitsvorfällen und Notfällen, von denen das Personal betroffen ist, einschließlich Beschlüssen über den Abzug oder die Aussetzung einer Mission, und ein Konzept sowie Verfahren für die Rettung des eingesetzten Personals – z. B. im Falle vermisster Personen oder im Falle von Entführungen und Geiselnahmen – unter Berücksichtigung der besonderen Zuständigkeiten der Mitgliedstaaten, der EU-Organe und des EAD in dieser Hinsicht. In diesem Zusammenhang sind die für das Management solcher Einsätze erforderlichen speziellen Fähigkeiten und eine mögliche Bereitstellung entsprechender Ressourcen durch die Mitgliedstaaten zu berücksichtigen.

4 Der EAD wird geeignete Verfahren für die Berichterstattung über Sicherheitsvorfälle in den Delegationen der Union einführen. Gegebenenfalls werden die Mitgliedstaaten, die Kommission, sonstige zuständige Behörden sowie die zuständigen Sicherheitsausschüsse unterrichtet.

5 Die Abläufe bei der Reaktion auf Sicherheitsvorfälle, Notfälle und Krisen sollten regelmäßig geübt und überprüft werden.

1 Der EAD schützt Informationen, die in Kommunikations- und Informationssystemen im Sinne des Anhangs A bearbeitet werden, vor Bedrohungen ihrer Vertraulichkeit, Integrität, Verfügbarkeit, Authentizität und Beweisbarkeit.

2 Entsprechende Vorschriften, Sicherheitsleitlinien und ein Sicherheitsprogramm zum Schutz aller Kommunikations- und Informationssysteme, die sich im Besitz des EAD befinden oder von ihm betrieben werden, werden von der Sicherheitsbehörde des EAD genehmigt.

3 Vorschriften, Konzept und Programm müssen ebenso wie ihre Umsetzung eng mit denen des Rates und der Kommission und gegebenenfalls mit den Sicherheitskonzepten der Mitgliedstaaten abgestimmt werden.

4 Alle zur Bearbeitung von Verschlusssachen verwendeten Informations- und Kommunikationssysteme werden einem Akkreditierungsverfahren unterzogen. Der EAD wendet in Absprache mit dem Generalsekretariat des Rates und der Kommission ein System für das Management der Sicherheitsakkreditierung an.

5 Werden für den Schutz der vom EAD bearbeiteten EU-VS kryptografische Produkte eingesetzt, so müssen diese zuvor auf Empfehlung des Sicherheitsausschusses des Rates von der Krypto-Zulassungsstelle des EAD zugelassen werden.

6 Von der Sicherheitsbehörde des EAD werden im erforderlichen Umfang folgende Stellen für Informationssicherung geschaffen: a) eine Stelle für Informationssicherung (Information Assurance Authority – IAA), b) eine TEMPEST-Stelle (Tempest Authority – TA), c) eine Krypto-Zulassungsstelle (Crypto Approval Authority – CAA), d) eine Krypto-Verteilungsstelle (Crypto Distribution Authority – CDA).

7 Für jedes System wird die Sicherheitsbehörde des EAD folgende Stellen schaffen: a) eine Sicherheits-Akkreditierungsstelle (Security Accreditation Authority – SAA), b) eine für den Betrieb zuständige Stelle für Informationssicherung (Information Assurance Operational Authority – IAOA).

8 Die Bestimmungen zur Anwendung dieses Artikels im Hinblick auf den Schutz von EU-VS sind in den Anhängen A und A IV enthalten.

1 Zu einer Verletzung der Sicherheit kommt es durch eine Handlung oder Unterlassung, die den in diesem Beschluss festgelegten Sicherheitsvorschriften und/oder den gemäß Artikel 21 Absatz 1 genehmigten Sicherheitskonzepten oder -leitlinien mit Maßnahmen zur Anwendung dieses Beschlusses zuwiderläuft.

2 Eine Kenntnisnahme von Verschlusssachen durch Unbefugte liegt vor, wenn eine Verschlusssache ganz oder teilweise nicht ermächtigten Personen oder Stellen gegenüber offengelegt wurde.

3 Eine tatsächliche oder vermutete Verletzung der Sicherheit oder eine tatsächliche oder vermutete Kenntnisnahme von Verschlusssachen durch Unbefugte wird unverzüglich dem Direktor für Sicherheit in der Zentrale und Informationssicherheit im EAD gemeldet, der geeignete Maßnahmen nach Anhang A Artikel 11 ergreift.

4 Nach Anhang A Artikel 11 Absatz 3 können gegen jede Person, die für eine Verletzung der Sicherheitsvorschriften dieses Beschlusses oder die Kenntnisnahme von Verschlusssachen durch Unbefugte verantwortlich ist, Disziplinarmaßnahmen und/oder rechtliche Schritte gemäß den geltenden Rechts- und sonstigen Vorschriften ergriffen werden.

1 Unbeschadet des Artikels 86 und des Anhangs IX des Statuts kann die für Sicherheit in der Zentrale und Informationssicherheit im EAD zuständige Direktion Sicherheitsuntersuchungen einleiten und durchführen: a) bei möglichem Verlust oder möglicher Falschbehandlung bzw. unbefugter Kenntnisnahme von EU-VS, Euratom-Verschlusssachen oder nicht als Verschlusssache eingestuften vertraulichen Informationen; b) zur Abwehr von Angriffen feindlicher Nachrichtendienste gegen den EAD und sein Personal; c) zur Abwehr von terroristischen Anschlägen auf den EAD und sein Personal; d) im Falle von Cybervorfällen; e) bei sonstigen Vorfällen, die die allgemeine Sicherheit des EAD beeinträchtigen oder beeinträchtigen könnten, einschließlich vermuteter Straftaten.

2 Die Sicherheitsbehörde des EAD, die in geeigneter Form von der für Sicherheit in der Zentrale und Informationssicherheit im EAD zuständigen Direktion, von der für das Krisenreaktionszentrum zuständigen Direktion sowie von Experten der Mitgliedstaaten und/oder anderer EU-Organe unterstützt wird, ergreift alle aufgrund der Untersuchungen erforderlichen Abhilfemaßnahmen, wenn und soweit dies angebracht erscheint. Nur befugte Mitglieder des Personals, denen die Sicherheitsbehörde des EAD angesichts ihrer aktuellen Aufgaben einen entsprechenden, auf ihren Namen lautenden Auftrag erteilt hat, können ermächtigt werden, Sicherheitsuntersuchungen im EAD durchzuführen und zu koordinieren.

3 Die Prüfer erhalten Zugang zu allen Informationen, die sie für die Durchführung der Untersuchungen benötigen und werden dabei von allen Dienststellen und dem Personal des EAD in vollem Umfang unterstützt. Die Prüfer können geeignete Maßnahmen zur Sicherung des Nachweispfades ergreifen, die der Bedeutung der untersuchten Angelegenheit angemessen sind.

4 Der Zugang zu personenbezogenen Daten, einschließlich solcher, die in den Kommunikations- und Informationssystemen erfasst sind, erfolgt nach Maßgabe der Verordnung (EU) 2018/1725 .

5 Ist für Untersuchungszwecke die Einrichtung einer Datenbank mit personenbezogenen Daten erforderlich, so wird der Europäische Datenschutzbeauftragte gemäß der genannten Verordnung davon in Kenntnis gesetzt.

1 Zur Bestimmung des Sicherheitsbedarfs des EAD erarbeiten die für Sicherheit in der Zentrale und Informationssicherheit im EAD zuständige Direktion und die für das Krisenreaktionszentrum zuständige Direktion eine umfassende Methodik zur Bewertung des Sicherheitsrisikos und halten diese Methodik auf dem neuesten Stand; dies erfolgt in enger Zusammenarbeit mit der Direktion Sicherheit der Generaldirektion Personal und Sicherheit der Kommission und gegebenenfalls mit dem Sicherheitsbüro des Generalsekretariats des Rates.

2 Das Risikomanagement für die Sicherheitsinteressen des EAD wird als Prozess angelegt. Ziel dieses Prozesses ist es, bekannte Sicherheitsrisiken zu bestimmen, Sicherheitsmaßnahmen zur Minderung dieser Risiken auf ein tragbares Maß festzulegen und Maßnahmen entsprechend dem Konzept der mehrschichtigen Sicherheit anzuwenden. Die Wirksamkeit der betreffenden Maßnahmen und das Risikoniveau werden fortlaufend bewertet.

3 Die in diesem Beschluss festgelegten Funktionen, Verantwortlichkeiten und Aufgaben berühren nicht die Verantwortung eines jeden Mitglieds des dem EAD unterstehenden Personals; insbesondere EU-Personal, das an Missionen in Drittländern teilnimmt, muss mit gesundem Menschenverstand und Urteilsvermögen zur eigenen Sicherheit beitragen und alle Sicherheitsregeln, -vorschriften, -verfahren und -anweisungen einhalten.

4 Um Sicherheitsrisiken vorzubeugen und diese zu beherrschen, kann beauftragtes Personal Zuverlässigkeitsüberprüfungen der in den Anwendungsbereich dieses Beschlusses fallenden Personen durchführen; dabei wird bestimmt, ob eine Sicherheitsbedrohung entsteht, falls diesen Personen Zugang zu Räumlichkeiten oder Informationen des EAD gewährt wird. Zu diesem Zweck und unter Einhaltung der Verordnung (EU) 2018/1725 darf das beauftragte Personal a) jede dem EAD zur Verfügung stehende Informationsquelle nutzen, wobei die Zuverlässigkeit der Informationsquelle zu berücksichtigen ist; b) auf im Besitz des EAD befindliche Personalakten oder Daten über Personen zugreifen, die der EAD beschäftigt oder zu beschäftigen beabsichtigt; dies gilt auch für Personal von Auftragnehmern, sofern dies hinreichend begründet wird.

5 Der EAD ergreift alle angemessenen Maßnahmen, um den Schutz seiner Sicherheitsinteressen zu gewährleisten und jeden nach vernünftigem Ermessen vorhersehbaren Schaden daran abzuwenden.

6 Die Sicherheitsmaßnahmen im EAD für den Schutz von EU-VS während der gesamten Dauer ihrer Einstufung als Verschlusssache müssen insbesondere dem Geheimhaltungsgrad, der Form und dem Umfang der Informationen oder des Materials, der Lage und der Beschaffenheit der Einrichtungen, in denen EU-VS aufbewahrt werden, und der Bedrohung, einschließlich der örtlichen Einschätzung der Bedrohung durch böswillige und/oder kriminelle Handlungen, einschließlich Spionage, Sabotage und Terrorismus, entsprechen.

1 Die Sicherheitsbehörde des EAD stellt sicher, dass durch die für Sicherheit in der Zentrale und Informationssicherheit im EAD zuständige Direktion geeignete Programme zur Sensibilisierung und Schulung in Sicherheitsfragen ausgearbeitet werden. Dem Personal in der Zentrale werden die erforderlichen Sicherheitsbelehrungen und -schulungen angeboten, die von den Teams für Sicherheitsschulungen der für Sicherheit in der Zentrale und Informationssicherheit im EAD zuständigen Direktion durchgeführt werden. Das Personal in den Delegationen der Union und je nach Bedarf deren berechtigte Angehörige erhalten die erforderliche, den Risiken an ihrem Arbeits- oder Wohnort angemessene Sicherheitsbelehrung und -schulung; diese Belehrungen und Schulungen werden in Abstimmung mit der für das Krisenreaktionszentrum zuständigen Direktion von den Sicherheitsmanagement-Teams durchgeführt.

2 Das Personal wird über seine Verantwortlichkeiten für den Schutz von EU-VS gemäß den Vorschriften nach Artikel 6 belehrt und erkennt sie an, bevor ihm Zugang zu EU-VS gewährt wird; die entsprechende Belehrung wird in regelmäßigen Abständen wiederholt.

1 Der Generalsekretär ist die Sicherheitsbehörde des EAD. In dieser Funktion gewährleistet er, dass a) die Sicherheitsmaßnahmen, soweit erforderlich, mit den zuständigen Behörden der Mitgliedstaaten, dem Generalsekretariat des Rates und der Kommission und gegebenenfalls mit Drittstaaten oder internationalen Organisationen in Bezug auf alle für die Tätigkeiten des EAD relevanten Sicherheitsfragen, auch hinsichtlich der Art der Risiken für die Sicherheitsinteressen des EAD und der entsprechenden Schutzmaßnahmen, koordiniert werden; b) die Sicherheitsaspekte bei sämtlichen Tätigkeiten des EAD von Beginn an vollständig berücksichtigt werden; c) der Zugang zu Verschlusssachen nur Personen gewährt wird, die die Anforderungen gemäß Anhang A Artikel 5 erfüllen; d) geeignete Maßnahmen ergriffen werden, um den Sicherheitsstatus des gesamten dem EAD unterstehenden Personals sowie der Auftragnehmer des EAD zu verwalten; e) ein Registratursystem eingerichtet wird, um sicherzustellen, dass Verschlusssachen, die als „CONFIDENTIEL UE/EU CONFIDENTIAL“ oder höher eingestuft sind, innerhalb des EAD im Einklang mit diesem Beschluss bearbeitet werden; dies gilt auch für sämtliche an EU-Mitgliedstaaten, Organe, Einrichtungen und Agenturen der EU oder andere befugte Empfänger weitergegebenen Verschlusssachen. Alle vom EAD an Drittstaaten oder internationale Organisationen weitergegebenen EU-VS und alle von Drittstaaten oder internationalen Organisationen erhaltenen Verschlusssachen werden in einem getrennten Verzeichnis erfasst; f) Sicherheitsinspektionen nach Artikel 16 durchgeführt werden; g) im Falle einer tatsächlichen oder vermuteten Verletzung der Sicherheit oder einer tatsächlichen oder vermuteten Kenntnisnahme von im EAD verwahrten oder herausgegebenen Verschlusssachen durch Unbefugte bzw. des Verlusts solcher Verschlusssachen Untersuchungen durchgeführt und die einschlägigen Sicherheitsbehörden um Unterstützung bei derartigen Untersuchungen ersucht werden; h) angemessene Pläne und Mechanismen für das Vorfall- und Folgenmanagement entwickelt werden, um rechtzeitig und wirksam auf Sicherheitsvorfälle reagieren zu können; i) angemessene Maßnahmen ergriffen werden, falls eine Person diesen Beschluss missachtet; j) für den Schutz der Sicherheitsinteressen des EAD angemessene physische und organisatorische Maßnahmen getroffen werden. Zu diesem Zweck wird die Sicherheitsbehörde des EAD die Sicherheitskategorie der Delegationen der Union in Abstimmung mit der Kommission festsetzen; einen Krisenreaktionsmechanismus schaffen und dessen Aufgaben und Zuständigkeiten festlegen; gegebenenfalls nach Rücksprache mit dem Hohen Vertreter beschließen, wann aus Sicherheitsgründen eine Evakuierung des Personals einer Delegation der Union zu veranlassen ist; Maßnahmen beschließen, die zum Schutz von berechtigten Angehörigen und unter Berücksichtigung der Vereinbarungen mit EU-Organen nach Artikel 3 Absatz 3 erforderlichenfalls ergriffen werden; die Strategie für kryptografische Kommunikation, insbesondere das Programm für die Installation von kryptografischen Produkten und Mechanismen, genehmigen.

2 Im Einklang mit Artikel 10 Absatz 3 des Beschlusses 2010/427/EU des Rates wird die Sicherheitsbehörde des EAD bei diesen Aufgaben gemeinsam von folgenden Personen unterstützt: (i). dem Generaldirektor für Ressourcenverwaltung, der vom Direktor für Sicherheit in der Zentrale und Informationssicherheit im EAD unterstützt wird, (ii). dem Direktor des Krisenreaktionszentrums und in geeigneter Form von dem stellvertretenden Generalsekretär für Frieden, Sicherheit und Verteidigung, um die Kohärenz mit den für GSVP-Missionen und -Operationen zu ergreifenden Sicherheitsmaßnahmen zu gewährleisten.

3 Der Generalsekretär kann als Sicherheitsbehörde des EAD bei Bedarf entsprechende Aufgaben weiterübertragen.

4 Jeder Abteilungs-/Referatsleiter ist für die Anwendung dieser Vorschriften, der Sicherheitsleitlinien gemäß Artikel 21 sowie aller sonstigen Verfahren oder Maßnahmen für den Schutz von EU-VS in seiner Abteilung/ seinem Referat verantwortlich. Jeder Abteilungs-/Referatsleiter benennt Mitglieder des Personals als Sicherheitskoordinatoren der Abteilung/des Referats; er trägt jedoch weiterhin die Verantwortung wie vorstehend ausgeführt. Die Zahl der Sicherheitskoordinatoren ist dem Umfang der von der Abteilung/dem Referat bearbeiteten EU-VS angemessen. Die Sicherheitskoordinatoren der Abteilung/des Referats unterstützen ihren Abteilungs-/Referatsleiter bei Bedarf in geeigneter Form bei der Wahrnehmung sicherheitsrelevanter Aufgaben, u. a. dabei, a) zusätzliche Sicherheitsanforderungen auszuarbeiten, die dem spezifischen Bedarf der Abteilung/des Referats entsprechen; dies geschieht in Abstimmung mit der für Sicherheit in der Zentrale und Informationssicherheit im EAD zuständigen Direktion; b) die regelmäßigen Sicherheitsbelehrungen, die von der für Sicherheit in der Zentrale und Informationssicherheit im EAD zuständigen Direktion für die Mitglieder ihrer Abteilung/ihres Referats durchgeführt werden, um Informationen zu zusätzlichen Sicherheitsanforderungen gemäß Buchstabe a zu ergänzen; c) zu gewährleisten, dass in ihrer Abteilung/ihrem Referat nach dem Grundsatz „Kenntnis nur wenn nötig“ verfahren wird; d) gegebenenfalls eine aktuelle Liste sicherer Codes und Schlüssel zu führen; e) gegebenenfalls zu gewährleisten, dass die Sicherheitsverfahren und -maßnahmen auf dem neuesten Stand und wirksam sind; f) ihren Direktoren und der für Sicherheit in der Zentrale und Informationssicherheit im EAD zuständigen Direktion Bericht über Verletzungen der Sicherheit und die Kenntnisnahme von EU-VS durch Unbefugte zu erstatten; g) Abschlussbesprechungen mit Mitgliedern des Personals durchzuführen, deren Beschäftigungsverhältnis mit dem EAD endet; h) durch ihre Vorgesetzten regelmäßige Berichte über sicherheitsrelevante Angelegenheiten in ihrer Abteilung/ihrem Referat bereitzustellen; i) mit der für Sicherheit in der Zentrale und Informationssicherheit im EAD zuständigen Direktion in Sicherheitsfragen zusammenzuarbeiten. Die für Sicherheit in der Zentrale und Informationssicherheit im EAD zuständige Direktion wird frühzeitig über jede Maßnahme oder Angelegenheit unterrichtet, die Auswirkungen auf die Sicherheit haben könnte.

1 Die für Sicherheit der Zentrale und Informationssicherheit im EAD zuständige Direktion ist administrativ der Generaldirektion für Ressourcenverwaltung zugeordnet. Sie hat folgende Aufgaben: (a) Sie nimmt die Fürsorgepflicht des EAD in der Zentrale des EAD wahr und ist für alle Sicherheitsangelegenheiten in der Zentrale des EAD zuständig, auch in Bezug auf Kommunikations- und Informationssysteme; ferner ist sie für die Informationssicherheit in den Delegationen der Union zuständig. (b) Sie übernimmt die Verwaltung, Koordinierung, Überwachung und/oder Umsetzung aller Sicherheitsmaßnahmen in allen Räumlichkeiten der EAD-Zentrale. (c) Sie gewährleistet die Kohärenz und Konsistenz mit diesem Beschluss und mit den Durchführungsbestimmungen bei allen Tätigkeiten, die sich auf den Schutz der Sicherheitsinteressen des EAD auswirken können. (d) Sie unterstützt die Tätigkeiten der Sicherheitsakkreditierungsstelle des EAD, indem sie den materiellen Geheimschutz in der allgemeinen Sicherheitsumgebung/lokalen Sicherheitsumgebung der Kommunikations- und Informationssysteme, mit denen EU-VS bearbeitet werden, sowie in sämtlichen Räumlichkeiten des EAD bewertet, die für die Bearbeitung und Aufbewahrung von EU-VS zugelassen werden sollen. Die für Sicherheit in der Zentrale und Informationssicherheit im EAD zuständige Direktion wird von den zuständigen Dienststellen der Mitgliedstaaten nach Artikel 10 Absatz 3 des Beschlusses 2010/427/EU des Rates unterstützt.

2 Der Direktor für Sicherheit in der Zentrale und Informationssicherheit im EAD hat folgende Aufgaben: (a) Er gewährleistet einen umfassenden Schutz der Sicherheitsinteressen des EAD in dem Zuständigkeitsbereich der für Sicherheit in der Zentrale und Informationssicherheit im EAD zuständigen Direktion. (b) Er entwirft, überprüft und aktualisiert die Sicherheitsvorschriften; ferner koordiniert er die Sicherheitsmaßnahmen mit dem Direktor des Krisenreaktionszentrums, den zuständigen Behörden der Mitgliedstaaten und bei Bedarf mit den zuständigen Behörden von Drittstaaten sowie mit internationalen Organisationen, die mit der EU Sicherheitsabkommen und/oder -vereinbarungen geschlossen haben. (c) Er ist Hauptberater des Hohen Vertreters, der Sicherheitsbehörde des EAD und des stellvertretenden Generalsekretärs für Frieden, Sicherheit und Verteidigung in allen die Sicherheit in der Zentrale sowie in allen die Informationssicherheit im EAD betreffenden Angelegenheiten. (d) Er verwaltet den Sicherheitsstatus des gesamten dem EAD unterstehenden Personals sowie der Auftragnehmer des EAD. (e) Er führt den Vorsitz im Sicherheitsausschuss des EAD in der Formation der nationalen Sicherheitsbehörden gemäß Artikel 15 Absatz 1 nach den Weisungen der Sicherheitsbehörde des EAD und unterstützt den Ausschuss in seiner Arbeit. (f) Er nimmt im Zusammenhang mit sicherheitsrelevanten Angelegenheiten, die in die Zuständigkeit der für Sicherheit in der Zentrale und Informationssicherheit im EAD zuständigen Direktion fallen, Kontakt zu anderen Partnern oder Behörden als den unter Buchstabe b aufgeführten auf. (g) Er setzt Schwerpunkte und unterbreitet Vorschläge für die Verwaltung der für die Sicherheit in der Zentrale und in den Delegationen der Union bereitgestellten Mittel, Letzteres in Abstimmung mit dem Direktor des Krisenreaktionszentrums. (h) Er gewährleistet die Aufzeichnung von Verletzungen der Sicherheit und der Kenntnisnahme von Verschlusssachen durch Unbefugte gemäß Artikel 9 sowie die Einleitung und Durchführung von Untersuchungen, sofern erforderlich. (i) Er organisiert regelmäßige Treffen und bei Bedarf weitere Treffen, um mit dem Sicherheitsdirektor des Generalsekretariats des Rates und dem Direktor der Direktion Sicherheit der Generaldirektion Humanressourcen und Sicherheit der Kommission Bereiche von gemeinsamem Interesse zu erörtern.

3 Die für Sicherheit in der Zentrale und Informationssicherheit im EAD zuständige Direktion wird in ihrem Zuständigkeitsbereich Kontakte knüpfen und eine enge Zusammenarbeit pflegen mit den nationalen Sicherheitsbehörden und/oder sonstigen für Sicherheit zuständigen Sicherheitsbehörden der Mitgliedstaaten, um mit deren Unterstützung die Informationen zu erhalten, die sie für die Bewertung der Risiken und Bedrohungen benötigt, denen der EAD, dessen Personal, Tätigkeiten, Werte und Ressourcen sowie Verschlusssachen möglicherweise an seinem üblichen Tätigkeitsort ausgesetzt sind, den zuständigen Sicherheitsbehörden von Drittstaaten, mit denen die EU ein Geheimschutzabkommen geschlossen hat oder in deren Hoheitsgebiet die EU eine GSVP-Mission oder -Operation entsendet, dem Sicherheitsbüro des Generalsekretariats des Rates und der Direktion Sicherheit der Generaldirektion Humanressourcen und Sicherheit der Kommission und gegebenenfalls mit den für Sicherheit zuständigen Abteilungen anderer Organe, Einrichtungen und Agenturen der EU, den für Sicherheit zuständigen Abteilungen internationaler Organisationen, mit denen die EU ein Geheimschutzabkommen geschlossen hat, und den nationalen Sicherheitsbehörden der Mitgliedstaaten bei allen Fragen, die den Schutz von EU-VS, einschließlich Erklärungen über die Sicherheitsüberprüfung von Personal, betreffen.

1 Die für das Krisenreaktionszentrum zuständige Direktion nimmt folgende Aufgaben wahr: (a) Sie kommt der Fürsorgepflicht des EAD in den Delegationen der Union nach. (b) Sie gewährleistet tagtäglich die Sicherheit des dem EAD unterstehenden Personals in den Delegationen der Union, schlägt Maßnahmen vor, die im Krisenfall zu ergreifen sind, um die Aufrechterhaltung des Betriebs in den Delegationen der Union zu gewährleisten, und führt in enger Abstimmung mit dem Referat für Koordinierung der Generaldirektion für Ressourcenverwaltung Evakuierungsverfahren durch. (c) Sie übernimmt die Verwaltung, Koordinierung, Überwachung und/oder Durchführung aller Sicherheitsmaßnahmen in allen Räumlichkeiten des EAD in den Delegationen der Union. (d) Sie gewährleistet die Kohärenz und Konsistenz mit diesem Beschluss und mit den Durchführungsbestimmungen bei allen Tätigkeiten des EAD, die sich im Zuständigkeitsbereich des Krisenreaktionszentrums auf den Schutz der Sicherheitsinteressen des EAD auswirken können. (e) Sie unterstützt die Tätigkeiten der Sicherheitsakkreditierungsstelle des EAD, indem sie Bewertungen des materiellen Geheimschutzes in den Räumlichkeiten der Delegationen der Union, die für die Bearbeitung und Aufbewahrung von EU-VS zugelassen sind, vornimmt.

2 Der Direktor des Krisenreaktionszentrums nimmt folgende Aufgaben wahr: (a) Er gewährleistet im Zuständigkeitsbereich der für das Krisenreaktionszentrum zuständigen Direktion einen umfassenden Schutz der Sicherheitsinteressen des EAD. (b) Er koordiniert die Sicherheitsmaßnahmen und -verfahren mit den zuständigen Behörden des Aufnahmestaats und bei Bedarf mit einschlägigen internationalen Organisationen. (c) Er gewährleistet die Aktivierung und Verwaltung des Krisenreaktionsmechanismus des EAD. (d) Er konzipiert und verwaltet die Krisenreaktionsfähigkeit des EAD (das verlegefähige Unterstützungsteam einschließlich der notwendigen Ausrüstung) und gewährleistet, dass diese Fähigkeit zu jeder Zeit einsatzbereit ist. (e) Er ist Hauptberater des Hohen Vertreters, der Sicherheitsbehörde des EAD und des stellvertretenden Generalsekretärs für Frieden, Sicherheit und Verteidigung in allen die Sicherheit der Delegationen der Union betreffenden Angelegenheiten und in allen Fragen, die die Reaktion auf die Delegationen der Union betreffende Krisen zum Gegenstand haben. (f) Er führt den Vorsitz im Sicherheitsausschuss des EAD in der Formation der Außenministerinnen und Außenminister gemäß Artikel 15 Absatz 1 entsprechend den Weisungen der Sicherheitsbehörde des EAD und unterstützt den Ausschuss in seiner Arbeit. (g) Er nimmt im Zusammenhang mit sicherheitsrelevanten Angelegenheiten, die in die Zuständigkeit der für das Krisenreaktionszentrum zuständigen Direktion fallen, Kontakt zu anderen Partnern oder Behörden als den unter Buchstabe b aufgeführten auf. (h) Er setzt Schwerpunkte und unterbreitet Vorschläge für die Verwaltung der für die Sicherheit der Delegationen der Union bereitgestellten Mittel, wobei die diesbezügliche Koordination dem Direktor für Sicherheit in der Zentrale und Informationssicherheit im EAD obliegt. (i) Er gewährleistet, dass Verletzungen der Sicherheit und die Kenntnisnahme von Verschlusssachen durch Unbefugte, zu denen es im Zuständigkeitsbereich der für das Krisenreaktionszentrum zuständigen Direktion kommt, dem für Sicherheit in der Zentrale und Informationssicherheit im EAD zuständigen Direktion gemeldet werden, damit geeignete Abhilfemaßnahmen getroffen werden können.

3 Die für das Krisenreaktionszentrum zuständige Direktion wird in ihrem Zuständigkeitsbereich Kontakte knüpfen und eine enge Zusammenarbeit pflegen mit den zuständigen Abteilungen der Außenministerien in den Mitgliedstaaten, soweit erforderlich mit den zuständigen Sicherheitsbehörden der Aufnahmestaaten, in deren Hoheitsgebiet die Delegationen der Union ihren Sitz haben, in Bezug auf die Sicherheitsinteressen des EAD, mit dem Sicherheitsbüro des Generalsekretariats des Rates und der Direktion Sicherheit der Generaldirektion Humanressourcen und Sicherheit der Kommission und gegebenenfalls mit den für Sicherheit zuständigen Abteilungen anderer Organe, Einrichtungen und Agenturen der EU im Zusammenhang mit ihrem Zuständigkeitsbereich, mit den Sicherheitsabteilungen internationaler Organisationen im Hinblick auf eine sinnvolle Abstimmung innerhalb ihres Zuständigkeitsbereichs.

1 Jeder Delegationsleiter ist vor Ort für die Durchführung und Organisation sämtlicher Maßnahmen zum Schutz der Sicherheitsinteressen des EAD innerhalb der Räumlichkeiten und Zuständigkeiten der Delegationen der Union verantwortlich. Er unternimmt – wenn erforderlich unter Anleitung des Krisenreaktionszentrums und in Abstimmung mit den zuständigen Behörden des Aufnahmestaates – alle nach vernünftigem Ermessen zumutbaren Anstrengungen, um zu gewährleisten, dass angemessene physische und organisatorische Maßnahmen getroffen werden, damit er seiner Fürsorgepflicht nachkommen kann. Der Delegationsleiter legt – gegebenenfalls unter Berücksichtigung etwaiger Verwaltungsvereinbarungen nach Artikel 3 Absatz 3 – Sicherheitsverfahren für den Schutz von berechtigten Angehörigen im Sinne von Artikel 2 Buchstabe c fest. Der Delegationsleiter erstattet dem Direktor des Krisenreaktionszentrums Bericht über alle mit seiner Fürsorgepflicht zusammenhängenden Fragen, die in seinen Zuständigkeitsbereich fallen, und dem Direktor der für Sicherheit in der Zentrale und Informationssicherheit im EAD zuständigen Direktion Bericht über alle sonstigen sicherheitsrelevanten Angelegenheiten. Er wird bei diesen Aufgaben durch die für das Krisenreaktionszentrum zuständige Direktion, durch das Sicherheitsmanagement-Team der Delegation der Union, das aus mit Sicherheitsaufgaben und -funktionen betrautem Personal besteht, und durch Sicherheitspersonal, das erforderlichenfalls hierfür abgestellt wird, unterstützt. Die für Sicherheit in der Zentrale und Informationssicherheit im EAD zuständige Direktion wird in ihrem Zuständigkeitsbereich Unterstützung leisten. Die Delegation der Union pflegt mit den diplomatischen Vertretungen der Mitgliedstaaten regelmäßige Kontakte und eine enge Zusammenarbeit in Sicherheitsfragen.

2 Außerdem übernimmt der Delegationsleiter folgende Aufgaben: in Abstimmung mit dem Krisenreaktionszentrum Aufstellung detaillierter Sicherheits- und Notfallpläne für die Delegation der Union anhand allgemeiner Standardverfahren; Betrieb eines rund um die Uhr einsatzbereiten Systems für das Management von Sicherheitsvorfällen und Notfällen im Rahmen des Tätigkeitsbereichs der Delegation der Union; Gewährleistung eines an die örtlichen Bedingungen angepassten Versicherungsschutzes des gesamten in der Delegation der Union eingesetzten Personals; Gewährleistung der Einbeziehung des Sicherheitsaspekts in die Einführungsschulung, die alle in der Delegation der Union eingesetzten Mitglieder des Personals bei Dienstantritt in der Delegation der Union erhalten, und Gewährleistung der Umsetzung aller Empfehlungen, die aus Sicherheitsbewertungen hervorgehen, und regelmäßige schriftliche Berichterstattung über die Umsetzung dieser Empfehlungen an den Direktor des Krisenreaktionszentrums und den Direktor für Sicherheit in der Zentrale und Informationssicherheit im EAD.

3 Der Delegationsleiter, der weiterhin für die Gewährleistung des Sicherheitsmanagements sowie der Resilienz der Dienststelle verantwortlich und rechenschaftspflichtig bleibt, kann dem Sicherheitskoordinator der Delegation als stellvertretendem Delegationsleiter oder, wenn kein Koordinator ernannt wurde, einer geeigneten anderen Person, die Wahrnehmung seiner sicherheitsrelevanten Aufgaben übertragen. Insbesondere folgende Aufgaben können übertragen werden: Koordinierung der Sicherheitsfunktionen in der Delegation der Union; Aufnahme von Kontakten in Sicherheitsfragen zu den zuständigen Behörden des Aufnahmestaates und den entsprechenden Stellen in den Botschaften und diplomatischen Vertretungen der Mitgliedstaaten; Umsetzung geeigneter Verfahren für das Sicherheitsmanagement zum Schutz der Sicherheitsinteressen des EAD, einschließlich des Schutzes von EU-VS; Gewährleistung der Einhaltung der Sicherheitsvorschriften und -anweisungen; Belehrung des Personals über die für das Personal geltenden Sicherheitsvorschriften und im Aufnahmestaat bestehende spezifische Risiken; Einreichung von Anträgen auf Sicherheitsüberprüfung an die für Sicherheit in der Zentrale und Informationssicherheit im EAD zuständige Direktion für Dienstposten, für die eine Erklärung über die Sicherheitsüberprüfung von Personal (Personnel Security Clearance — PSC) erforderlich ist; und regelmäßige Unterrichtung des Delegationsleiters, des regionalen Sicherheitsbeauftragten und der für das Krisenreaktionszentrum zuständigen Direktion über sicherheitsbezogene Vorfälle oder Entwicklungen in dem Gebiet, die sich auf den Schutz der Sicherheitsinteressen des EAD auswirken können.

4 Der Delegationsleiter kann administrative oder technische Sicherheitsaufgaben auf den Leiter der Verwaltung und andere Mitglieder des Personals der Delegation der Union übertragen.

5 Die Delegation der Union wird von einem regionalen Sicherheitsbeauftragten unterstützt. Der regionale Sicherheitsbeauftragte erfüllt die nachstehend aufgeführten Aufgaben in einer Delegation der Union im Rahmen ihres jeweiligen geografischen Zuständigkeitsbereichs. Wenn es die vorherrschende Sicherheitslage erfordert, kann unter bestimmten Umständen ein regionaler Sicherheitsbeauftragter auch dauerhaft auf Vollzeitbasis für eine spezifische Delegation der Union abgestellt werden. Es kann erforderlich sein, dass ein regionaler Sicherheitsbeauftragter außerhalb seines jeweiligen Zuständigkeitsbereichs — einschließlich der Zentrale — versetzt wird oder auf Anweisung der für das Krisenreaktionszentrum zuständigen Direktion nach Maßgabe der Sicherheitslage in einem Land dort seine Funktion dauerhaft ausübt.

6 Der regionale Sicherheitsbeauftragte untersteht der direkten operativen Kontrolle der für Sicherheit im Einsatzgebiet zuständigen Dienststelle der Zentrale des EAD, jedoch der gemeinsamen administrativen Kontrolle des Leiters der Delegation am Ort der dienstlichen Verwendung und der für Sicherheit im Einsatzgebiet zuständigen Dienststelle der Zentrale. Der regionale Sicherheitsbeauftragte berät und unterstützt den Delegationsleiter und das Personal der Delegation der Union bei der Vorbereitung und Durchführung aller physischen, organisatorischen und verfahrenstechnischen Maßnahmen zur Gewährleistung der Sicherheit der Delegation der Union.

7 Der regionale Sicherheitsbeauftragte berät und unterstützt den Delegationsleiter und das Personal der Delegation der Union. Gegebenenfalls und insbesondere, wenn ein regionaler Sicherheitsbeauftragter dauerhaft auf Vollzeitbasis tätig ist, sollte er eine Delegation der Union bei Sicherheitsmanagement und Sicherheitsimplementierung unterstützen, was auch die Vorbereitung von sicherheitsspezifischen Verträgen sowie die Verwaltung von Akkreditierungen und Sicherheitsüberprüfungen einschließt.

In Ergänzung der spezifischen Vorgaben im Rahmen der vom Rat angenommenen einschlägigen Strategien beraten der Direktor für Sicherheit in der Zentrale und Informationssicherheit im EAD und der Direktor des Krisenreaktionszentrums im Rahmen des jeweiligen Zuständigkeitsbereichs ihrer Direktionen soweit erforderlich den geschäftsführenden Direktor mit Zuständigkeit für die Gemeinsame Sicherheits- und Verteidigungspolitik (im Folgenden „GSVP“), den Generaldirektor des Militärstabs der EU (im Folgenden „EUMS“) – auch in dessen Eigenschaft als Direktor des militärischen Planungs- und Durchführungsstabs (im Folgenden „MPCC“) – und den geschäftsführenden Direktor mit Zuständigkeit für den zivilen Planungs- und Durchführungsstab (im Folgenden „CPCC“) in Bezug auf die sicherheitsrelevanten Aspekte der Planung und Durchführung von GSVP-Missionen und -Operationen und die EU-Sonderbeauftragten in Bezug auf die sicherheitsrelevanten Aspekten ihrer Mandate.

1 Es wird ein Sicherheitsausschuss des EAD eingesetzt. Den Vorsitz führt die Sicherheitsbehörde des EAD oder eine von ihr beauftragte Person; der Ausschuss tritt auf Anweisung des Vorsitzes oder auf Antrag eines seiner Mitglieder zusammen. Die für Sicherheit in der Zentrale und Informationssicherheit im EAD zuständige Direktion und die für das Krisenreaktionszentrum zuständige Direktion unterstützen den Vorsitz im Rahmen ihrer jeweiligen Zuständigkeiten bei der Wahrnehmung seiner Aufgaben und leisten, soweit erforderlich, administrative Unterstützung bei der Arbeit des Ausschusses.

2 Der Sicherheitsausschuss des EAD setzt sich zusammen aus Vertretern jedes Mitgliedstaates, des Sicherheitsbüros des Generalsekretariats des Rates, der Direktion Sicherheit der Generaldirektion Humanressourcen und Sicherheit der Kommission. Den Delegationen der Mitgliedstaaten für den Sicherheitsausschuss des EAD können als Mitglieder angehören Vertreter der nationalen Sicherheitsbehörden und/oder der beauftragten Sicherheitsbehörden, Vertreter der für Sicherheit zuständigen Abteilungen der Außenministerien.

3 Die dem Ausschuss angehörenden Vertreter können sich von Experten begleiten und beraten lassen, wenn sie dies für notwendig erachten. Vertreter anderer Organe, Agenturen und Einrichtungen der EU können eingeladen werden, wenn Fragen erörtert werden, die ihre Sicherheit betreffen.

4 Unbeschadet des Absatzes 5 unterstützt der Sicherheitsausschuss des EAD den EAD im Rahmen von Konsultationen bei allen für die Tätigkeit des EAD, die Zentrale und die Delegationen der Union relevanten Sicherheitsfragen. Unbeschadet des Absatzes 5 wird der Sicherheitsausschuss des EAD insbesondere a) zu folgenden Fragen konsultiert: Sicherheitsstrategien, -leitlinien, -konzepte oder andere Dokumente über sicherheitsrelevante Methoden, insbesondere für den Schutz von Verschlusssachen und die Maßnahmen, die im Falle einer Missachtung der Sicherheitsvorschriften durch das Personal des EAD zur ergreifen sind; technische Sicherheitsaspekte, die Einfluss auf den Beschluss des Hohen Vertreters haben könnten, eine Empfehlung zur Aufnahme von Verhandlungen über Geheimschutzabkommen nach Anhang A Artikel 10 Absatz 1 Buchstabe a an den Rat zu richten; alle Änderungen dieses Beschlusses; b) unbeschadet des Artikels 3 Absatz 3 zu Fragen, die die Sicherheit von Personal und Werten in der EAD-Zentrale und den Delegationen der Union betreffen, konsultiert oder darüber unterrichtet; c) über alle Fälle von Kenntnisnahme durch Unbefugte oder den Verlust von EU-VS innerhalb des EAD unterrichtet.

5 Für alle Änderungen der den Schutz von EU-VS betreffenden Vorschriften dieses Beschlusses und seines Anhangs A muss eine einhellig befürwortende Stellungnahme der im Sicherheitsausschuss des EAD vertretenen Mitgliedstaaten eingeholt werden. Eine solche einhellig befürwortende Stellungnahme ist auch erforderlich für die Aufnahme von Verhandlungen über Verwaltungsvereinbarungen nach Anhang A Artikel 10 Absatz 1 Buchstabe b; die Weitergabe von Verschlusssachen in den besonderen Ausnahmefällen nach Anhang A VI Nummern 9, 11 und 12; das Treffen der Entscheidung an der Stelle des Herausgebers der Verschlusssachen unter den in Anhang A Artikel 10 Absatz 6 letzter Satz genannten Umständen. Eine einhellig befürwortende Stellungnahme gilt als erteilt, wenn die Delegationen der Mitgliedstaaten während der Ausschussberatungen keine Einsprüche erheben.

6 Der Sicherheitsausschuss des EAD berücksichtigt in vollem Umfang die geltenden Sicherheitskonzepte und -leitlinien des Rates und der Kommission.

7 Der Sicherheitsausschuss des EAD erhält jährlich eine Liste der EAD-Inspektionen sowie die endgültigen Inspektionsberichte.

8 Organisation von Sitzungen: Der Sicherheitsausschuss des EAD tritt mindestens zweimal jährlich zusammen. Auf Initiative des Vorsitzes oder auf Antrag der Ausschussmitglieder können zusätzliche Sitzungen mit allen Mitgliedern oder mit den Vertretern der nationalen Sicherheitsbehörden/ beauftragten Sicherheitsbehörden oder der für Sicherheit zuständigen Abteilungen der Außenministerien einberufen werden. Der Sicherheitsausschuss des EAD organisiert seine Tätigkeit so, dass er Empfehlungen zu spezifischen Sicherheitsfragen geben kann. Er kann bei Bedarf weitere Fachuntergruppen einrichten. Er legt das Mandat für diese Fachuntergruppen fest und erhält von diesen Berichte über ihre Tätigkeiten. Die für Sicherheit in der Zentrale und Informationssicherheit im EAD zuständige Direktion und die für das Krisenreaktionszentrum zuständige Direktion sind in Bezug auf ihr jeweiliges Zuständigkeitsgebiet für die Vorbereitung der zu erörternden Themen zuständig. Der Vorsitz stellt für jede Sitzung eine vorläufige Tagesordnung auf. Die Mitglieder des Ausschusses können weitere Diskussionspunkte vorschlagen.

1 Die Sicherheitsbehörde des EAD gewährleistet, dass in der Zentrale des EAD und in den Delegationen der Union regelmäßig Sicherheitsinspektionen durchgeführt werden, um zu überprüfen, ob die Sicherheitsmaßnahmen auf angemessene Weise umgesetzt werden und ob sie mit diesem Beschluss im Einklang stehen. Die für Sicherheit in der Zentrale und Informationssicherheit im EAD zuständige Direktion kann in Zusammenarbeit mit der für das Krisenreaktionszentrum zuständigen Direktion gegebenenfalls Experten für die Beteiligung an Sicherheitsinspektionen in den nach Titel V Kapitel 2 EUV geschaffenen Agenturen und Einrichtungen der EU benennen.

2 Die Sicherheitsinspektionen des EAD werden unter der Verantwortung der für Sicherheit in der Zentrale und Informationssicherheit im EAD zuständigen Direktion – gegebenenfalls mit Unterstützung des Krisenreaktionszentrums des EAD – und im Rahmen der Vereinbarungen nach Artikel 3 Absatz 3 mit der Unterstützung von Sicherheitsexperten anderer Organe der EU oder der Mitgliedstaaten durchgeführt.

3 Der EAD kann gegebenenfalls auf einschlägige Fachkenntnisse in den Mitgliedstaaten, dem Generalsekretariat des Rates und der Kommission zurückgreifen. Sofern erforderlich, können Sicherheitsexperten, die sich im Rahmen von Missionen der Mitgliedstaaten in einem Drittland aufhalten und/oder Vertreter der diplomatischen Sicherheitsdienste der Mitgliedstaaten zur Teilnahme an der Sicherheitsinspektion einer Delegation der Union aufgefordert werden.

4 Die Bestimmungen zur Anwendung dieses Artikels im Hinblick auf den Schutz von EU-VS sind in Anhang A III aufgeführt.

Bewertungsbesuche werden durchgeführt, um die Wirksamkeit der Sicherheitsvorkehrungen zu überprüfen, die zum Schutz von im Rahmen einer Verwaltungsvereinbarung nach Anhang A Artikel 10 Absatz 1 Buchstabe b ausgetauschten EU-VS in einem Drittstaat oder einer internationalen Organisation getroffen werden. Die für Sicherheit in der Zentrale und Informationssicherheit im EAD zuständige Direktion kann Experten für die Beteiligung an Bewertungsbesuchen in Drittstaaten oder bei internationalen Organisationen benennen, mit denen die EU ein Geheimschutzabkommen nach Anhang A Artikel 10 Absatz 1 Buchstabe a geschlossen hat.

Die für Sicherheit in der Zentrale und Informationssicherheit im EAD zuständige Direktion und die für das Krisenreaktionszentrum zuständige Direktion unterstützen die Sicherheitsbehörde des EAD beim Management der sicherheitsbezogenen Aspekte der Prozesse im Rahmen der allgemeinen Notfallplanung des EAD.

Die für das Krisenreaktionszentrum zuständige Direktion gewährleistet, dass für Missionen, die das dem EAD unterstehende Personal außerhalb der EU auszuführen hat, Reisehinweise zur Verfügung stehen und greift dabei auf die Ressourcen aller zuständigen Dienste des EAD zurück, insbesondere des INTCEN, der Spionageabwehrzelle der Generaldirektion für Ressourcenmanagement, der geografischen Abteilungen und der Delegationen der Union. Die für das Krisenreaktionszentrum zuständige Direktion stellt auf Antrag und unter Nutzung der genannten Ressourcen spezifische Reisehinweise für Missionen zur Verfügung, die das dem EAD unterstehende Personal in Drittstaaten mit hohem oder erhöhtem Sicherheitsrisiko auszuführen hat.

Die EAD-Sicherheitsvorschriften ergänzen die vom Hohen Vertreter angenommenen Vorschriften des EAD für Gesundheitsschutz und Sicherheit.

1 In enger Zusammenarbeit mit den zuständigen Sicherheitsbehörden der Mitgliedstaaten und mit Unterstützung der einschlägigen Dienststellen der EU-Organe legt die Sicherheitsbehörde des EAD, gegebenenfalls nach Konsultation des Sicherheitsausschusses des EAD, Sicherheitsleitlinien mit allen erforderlichen Maßnahmen zur Anwendung dieser Vorschriften im EAD fest und schafft in Bezug auf alle Sicherheitsaspekte die erforderlichen Kapazitäten.

2 Nach Artikel 4 Absatz 5 des Beschlusses 2010/427/EU des Rates kann der EAD erforderlichenfalls Dienstleistungsvereinbarungen mit den einschlägigen Dienststellen des Generalsekretariats des Rates und der Kommission schließen.

3 Der Hohe Vertreter stellt eine insgesamt kohärente Anwendung dieses Beschlusses sicher und überprüft regelmäßig die Sicherheitsvorschriften.

4 Die EAD-Sicherheitsvorschriften werden in enger Zusammenarbeit mit den zuständigen Sicherheitsbehörden der Mitgliedstaaten umgesetzt.

5 Der EAD gewährleistet, dass im Rahmen des Krisenreaktionssystems des EAD allen Aspekten des Sicherheitsprozesses Rechnung getragen wird.

6 Der Generalsekretär als Sicherheitsbehörde, der Direktor der für Sicherheit in der Zentrale und Informationssicherheit im EAD zuständigen Direktion und der Direktor des Krisenreaktionszentrums sorgen für die Durchführung dieses Beschlusses.

Der Beschluss ADMIN (2017)10 der Hohen Vertreterin der Union für Außen- und Sicherheitspolitik vom 19. September 2017 über die Sicherheitsvorschriften für den Europäischen Auswärtigen Dienst wird durch den vorliegenden Beschluss aufgehoben und ersetzt.

Dieser Beschluss tritt am Tag seiner Unterzeichnung in Kraft. Er wird im Amtsblatt der Europäischen Union veröffentlicht. Die Sicherheitsbehörde des EAD wird das gesamte Personal, das unter den Anwendungsbereich dieses Beschlusses und seiner Anhänge fällt, rechtzeitig und ordnungsgemäß über dessen Inhalt, Inkrafttreten und nachfolgende Änderungen unterrichten.

1 In diesem Anhang sind die Grundprinzipien und Mindeststandards für die Sicherheit in Bezug auf den Schutz von EU-VS festgelegt.

2 Diese Grundprinzipien und Mindeststandards gelten für den EAD und das dem EAD unterstehende, in den Artikeln 1 und 2 dieses Beschlusses aufgeführte und definierte Personal.

1 „EU-Verschlusssachen“ (EU-VS) sind alle mit einem EU-Geheimhaltungsgrad gekennzeichneten Informationen oder alles so gekennzeichnete Material, deren bzw. dessen unbefugte Weitergabe den Interessen der Europäischen Union oder eines oder mehrerer ihrer Mitgliedstaaten in unterschiedlichem Maße schaden könnte.

2 EU-VS werden in einen der folgenden Geheimhaltungsgrade eingestuft: a) TRÈS SECRET UE/EU TOP SECRET: Informationen und Material, deren bzw. dessen unbefugte Weitergabe den wesentlichen Interessen der Europäischen Union oder eines oder mehrerer Mitgliedstaaten äußerst schweren Schaden zufügen könnte; b) SECRET UE/EU SECRET: Informationen und Material, deren bzw. dessen unbefugte Weitergabe den wesentlichen Interessen der Europäischen Union oder eines oder mehrerer Mitgliedstaaten schweren Schaden zufügen könnte; c) CONFIDENTIEL UE/EU CONFIDENTIAL: Informationen und Material, deren bzw. dessen unbefugte Weitergabe den wesentlichen Interessen der Europäischen Union oder eines oder mehrerer Mitgliedstaaten Schaden zufügen könnte; d) RESTREINT UE/EU RESTRICTED: Informationen und Material, deren bzw. dessen unbefugte Weitergabe für die wesentlichen Interessen der Europäischen Union oder eines oder mehrerer Mitgliedstaaten nachteilig sein könnte.

3 EU-VS werden mit einem Geheimhaltungsgrad gemäß Absatz 2 gekennzeichnet. Sie können zusätzliche Kennzeichnungen tragen, die dazu dienen, den Tätigkeitsbereich, auf den sie sich beziehen, anzugeben, den Herausgeber zu benennen, die Verteilung zu begrenzen, die Verwendung einzuschränken oder anzugeben, dass sie weitergegeben werden können.

1 Der EAD gewährleistet, dass EU-VS angemessen eingestuft werden, deutlich als Verschlusssache gekennzeichnet sind und ihren Geheimhaltungsgrad nur so lange wie erforderlich behalten.

2 Der Geheimhaltungsgrad von EU-VS darf ohne vorherige schriftliche Zustimmung des Herausgebers weder herabgestuft noch aufgehoben werden; das Gleiche gilt für die Veränderung oder Entfernung der in Artikel 2 Absatz 3 genannten Kennzeichnungen.

3 Die Sicherheitsbehörde des EAD legt nach Konsultation des Sicherheitsausschusses des EAD nach Artikel 15 Absatz 5 dieses Beschlusses Sicherheitsleitlinien für die Erstellung von EU-VS, einschließlich eines Einstufungsleitfadens für Verschlusssachen, fest.

1 EU-VS werden gemäß diesem Beschluss geschützt.

2 Der Besitzer jedweder EU-VS ist dafür verantwortlich, diese gemäß diesem Beschluss zu schützen.

3 Bringt ein Mitgliedstaat Verschlusssachen, die mit einem nationalen Geheimhaltungsgrad gekennzeichnet sind, in die Strukturen oder Netze des EAD ein, so schützt der EAD diese Verschlusssachen nach Maßgabe der Anforderungen, die für EU-VS mit gleichwertigem Geheimhaltungsgrad gemäß der Entsprechungstabelle in Anlage B gelten. Der EAD legt geeignete Verfahren fest, um genaue Aufzeichnungen zu führen über den Herausgeber von Verschlusssachen, die der EAD erhält, und des Ausgangsmaterials, das in vom EAD stammenden Verschlusssachen enthalten ist. Der Sicherheitsausschuss des EAD wird über diese Verfahren unterrichtet.

4 Große Mengen oder eine Zusammenstellung von EU-VS können ein Schutzniveau erfordern, das einem höheren Geheimhaltungsgrad als dem der einzelnen Bestandteile entspricht.

1 Der personelle Geheimschutz beinhaltet die Anwendung von Maßnahmen, mit denen gewährleistet wird, dass nur Personen Zugang zu EU-VS erhalten, die Kenntnis von EU-VS haben müssen, für den Zugang zu als „CONFIDENTIEL UE/EU CONFIDENTIAL“ oder höher eingestuften Verschlusssachen für den entsprechenden Geheimhaltungsgrad sicherheitsüberprüft sind oder auf andere Weise aufgrund ihrer Tätigkeit nach Maßgabe der innerstaatlichen Rechtsvorschriften ordnungsgemäß ermächtigt sind und über ihre Verantwortlichkeiten belehrt worden sind.

2 Das Verfahren zur Ausstellung von Erklärungen über die Sicherheitsüberprüfung von Personal (Personnel Security Clearance — PSC) dient der Feststellung, ob eine Person unter Berücksichtigung ihrer Loyalität, Vertrauenswürdigkeit und Zuverlässigkeit zum Zugang zu EU-VS ermächtigt werden kann.

3 Jede Person wird über ihre Verantwortlichkeiten für den Schutz von EU-VS nach Maßgabe dieses Beschlusses belehrt und erkennt sie schriftlich an, bevor ihr Zugang zu EU-VS gewährt wird; eine solche Belehrung bzw. Anerkennung erfolgt auch später in regelmäßigen Abständen.

4 Die Bestimmungen zur Anwendung dieses Artikels sind in Anhang A I enthalten.

1 Der materielle Geheimschutz beinhaltet die Anwendung von physischen und technischen Schutzmaßnahmen zur Verhinderung des unbefugten Zugangs zu EU-VS.

2 Die Maßnahmen des materiellen Geheimschutzes zielen darauf ab, das heimliche oder gewaltsame Eindringen unbefugter Personen zu verhindern, von unbefugten Handlungen abzuschrecken bzw. diese zu verhindern und aufzudecken und beim Zugang von Personal zu EU-VS eine Differenzierung nach dem Grundsatz „Kenntnis nur, wenn nötig“ zu ermöglichen. Diese Maßnahmen werden auf der Grundlage eines Risikomanagementprozesses festgelegt.

3 Die Maßnahmen des materiellen Geheimschutzes werden für alle Räumlichkeiten, Gebäude, Büros, Räume und sonstigen Bereiche, in denen EU-VS bearbeitet bzw. aufbewahrt werden, getroffen, einschließlich Bereiche, in denen Kommunikations- und Informationssysteme gemäß Anhang A untergebracht sind.

4 Die Bereiche, in denen als „CONFIDENTIEL UE/EU CONFIDENTIAL“ oder höher eingestufte EU-VS aufbewahrt werden, werden als abgesicherte Bereiche nach Anhang A II eingerichtet und von der Sicherheitsbehörde des EAD genehmigt.

5 Zum Schutz von als „CONFIDENTIEL UE/EU CONFIDENTIAL“ oder höher eingestuften EU-VS werden ausschließlich zugelassene Ausrüstungen oder Geräte verwendet.

6 Die Bestimmungen zur Anwendung dieses Artikels sind in Anhang A II enthalten.

1 Die Verwaltung von Verschlusssachen beinhaltet die Anwendung administrativer Maßnahmen zur Kontrolle von EU-VS während der gesamten Dauer ihrer Einstufung als EU-VS mit dem Ziel, die Maßnahmen nach den Artikeln 5, 6 und 8 zu ergänzen und dadurch dazu beizutragen, die beabsichtigte oder unbeabsichtigte Kenntnisnahme von Verschlusssachen durch Unbefugte sowie den Verlust von Verschlusssachen zu verhindern oder aufzudecken und entsprechende Maßnahmen zur Wiederherstellung der Sicherheit zu treffen. Diese Maßnahmen beziehen sich insbesondere auf die Erstellung, die Registrierung, die Vervielfältigung, die Übersetzung, die Beförderung, die Bearbeitung, die Aufbewahrung und die Vernichtung von EU-VS.

2 Als „CONFIDENTIEL UE/EU CONFIDENTIAL“ oder höher eingestufte Verschlusssachen werden zu Sicherheitszwecken bei Erhalt und vor ihrer Weiterleitung registriert. Zu diesem Zweck richten die zuständigen Stellen im EAD ein Registratursystem ein. Als „TRÈS SECRET UE/EU TOP SECRET“ eingestufte Verschlusssachen werden in eigens dafür bestimmten Registraturen registriert.

3 In Dienststellen und Räumlichkeiten, in denen EU-VS bearbeitet oder aufbewahrt werden, sind regelmäßig Inspektionen durch die Sicherheitsbehörde des EAD durchzuführen.

4 EU-VS werden zwischen Dienststellen und Räumlichkeiten außerhalb von physisch geschützten Bereichen wie folgt befördert: a) In der Regel werden EU-VS auf elektronischem Wege übermittelt, wobei sie durch kryptografische Produkte geschützt werden, die nach Artikel 7 Absatz 5 dieses Beschlusses und anhand klar definierter Sicherheitsbetriebsverfahren zugelassen wurden; b) wenn der elektronische Weg gemäß Buchstabe a nicht verwendet wird, erfolgt die Beförderung von EU-VS entweder i) auf elektronischen Datenträgern (z. B. USB-Sticks, CDs, Festplattenlaufwerken), die durch kryptografische Produkte geschützt sind, die nach Artikel 8 Absatz 5 dieses Beschlusses zugelassen wurden, oder ii) in allen anderen Fällen gemäß den Vorschriften der Sicherheitsbehörde des EAD im Einklang mit den in Anhang A III Abschnitt V festgelegten einschlägigen Schutzmaßnahmen.

5 Die Bestimmungen zur Anwendung dieses Artikels sind in Anhang A III enthalten.

1 Die Informationssicherung im Bereich von Kommunikations- und Informationssystemen beruht auf dem Vertrauen darauf, dass die in diesen Systemen bearbeiteten Informationen geschützt sind und dass diese Systeme unter der Kontrolle rechtmäßiger Nutzer jederzeit ordnungsgemäß funktionieren. Eine effektive Informationssicherung stellt ein angemessenes Niveau der Vertraulichkeit, Integrität, Verfügbarkeit, Beweisbarkeit und Authentizität sicher. Die Informationssicherung stützt sich auf einen Risikomanagementprozess.

2 In Kommunikations- und Informationssystemen werden EU-VS gemäß dem Konzept der Informationssicherung bearbeitet.

3 Alle Kommunikations- und Informationssysteme, in denen EU-VS bearbeitet werden, werden einem Akkreditierungsverfahren unterzogen. Mit der Akkreditierung wird bezweckt, Gewissheit darüber zu erlangen, dass alle angemessenen Sicherheitsmaßnahmen durchgeführt worden sind und dass ein ausreichender Schutz der EU-VS und des Kommunikations- und Informationssystems gemäß diesem Beschluss gegeben ist. In der Akkreditierungserklärung wird festgelegt, bis zu welchem Geheimhaltungsgrad und unter welchen Voraussetzungen Verschlusssachen in einem Kommunikations- und Informationssystem bearbeitet werden dürfen.

4 Kommunikations- und Informationssysteme, in denen als „CONFIDENTIEL UE/EU CONFIDENTIAL“ und höher eingestufte Verschlusssachen bearbeitet werden, werden so geschützt, dass von Informationen nicht über unbeabsichtigte elektromagnetische Abstrahlung unbefugt Kenntnis genommen werden kann („TEMPEST-Sicherheitsvorkehrungen“).

5 Wird der Schutz von EU-VS mit kryptografischen Produkten sichergestellt, so sind diese Produkte nach Artikel 8 Absatz 5 dieses Beschlusses zuzulassen.

6 Bei der elektronischen Übermittlung von EU-VS werden zugelassene kryptografische Produkte verwendet. Ungeachtet dieser Anforderung können in Notsituationen oder im Rahmen bestimmter technischer Konfigurationen spezielle Verfahren nach Maßgabe des Anhangs A IV angewandt werden.

7 Nach Artikel 8 Absatz 6 dieses Beschlusses werden je nach Bedarf die nachstehenden Funktionen für Informationssicherung geschaffen: a) eine Stelle für Informationssicherung (Information Assurance Authority – IAA), b) eine TEMPEST-Stelle (Tempest Authority – TA), c) eine Krypto-Zulassungsstelle (Crypto Approval Authority – CAA), d) eine Krypto-Verteilungsstelle (Crypto Distribution Authority – CDA).

8 Nach Artikel 8 Absatz 7 dieses Beschlusses wird für jedes System Folgendes eingerichtet: a) eine Sicherheits-Akkreditierungsstelle (Security Accreditation Authority – SAA), b) eine für den Betrieb zuständige Stelle für Informationssicherung (Information Assurance Operational Authority – IAOA).

9 Die Bestimmungen zur Anwendung dieses Artikels sind in Anhang A IV enthalten.

1 Der gewerbliche Geheimschutz beinhaltet die Anwendung von Maßnahmen zum Schutz von EU-VS durch Auftragnehmer oder Unterauftragnehmer während der Verhandlungen vor der Auftragsvergabe und während der gesamten Laufzeit von als Verschlusssachen eingestuften Aufträgen. Grundsätzlich beinhalten derartige Aufträge nicht den Zugang zu als „TRÈS SECRET UE/EU TOP SECRET“ eingestuften Verschlusssachen.

2 Der EAD kann industrielle oder andere Unternehmen, die in einem Mitgliedstaat oder in einem Drittstaat, mit dem ein Geheimschutzabkommen oder eine Verwaltungsvereinbarung nach Anhang A Artikel 10 Absatz 1 geschlossen wurde, eingetragen sind, vertraglich mit Aufträgen betrauen, die den Zugang zu oder die Bearbeitung oder Aufbewahrung von EU-VS beinhalten oder nach sich ziehen.

3 Der EAD stellt als Vergabebehörde sicher, dass die in diesem Beschluss festgelegten und in dem Vertrag genannten Mindeststandards für den gewerblichen Geheimschutz eingehalten werden, wenn als Verschlusssache eingestufte Aufträge von ihm an industrielle oder andere Unternehmen vergeben werden. Er sorgt für die Einhaltung dieser Mindeststandards durch die jeweilige nationale Sicherheitsbehörde/beauftragte Sicherheitsbehörde.

4 In einem Mitgliedstaat eingetragene Auftragnehmer und Unterauftragnehmer, die an als Verschlusssache eingestuften Aufträgen oder Unteraufträgen beteiligt sind und entweder bei der Ausführung dieser Aufträge oder bei den Verhandlungen vor der Auftragsvergabe als „CONFIDENTIEL UE/EU CONFIDENTIAL“ oder „SECRET UE/EU SECRET“ eingestufte Verschlusssachen in ihren Räumlichkeiten bearbeiten und aufbewahren müssen, müssen im Besitz eines von der nationalen Sicherheitsbehörde, der beauftragten Sicherheitsbehörde oder einer sonstigen zuständigen Sicherheitsbehörde des betreffenden Mitgliedstaats erteilten Sicherheitsbescheids für Unternehmen des entsprechenden Geheimhaltungsgrads sein.

5 Das Personal des Auftragnehmers oder Unterauftragnehmers, das zur Ausführung eines als Verschlusssache eingestuften Auftrags Zugang zu Informationen des Geheimhaltungsgrads „CONFIDENTIEL UE/EU CONFIDENTIAL“ oder „SECRET UE/EU SECRET“ erhalten muss, muss im Besitz eines von der jeweiligen nationalen Sicherheitsbehörde, der beauftragten Sicherheitsbehörde oder einer sonstigen zuständigen Sicherheitsbehörde gemäß den innerstaatlichen Rechtsvorschriften und den Mindeststandards in Anhang A I ausgestellten Erklärung über die Sicherheitsüberprüfung von Personal (Personnel Security Clearance - PSC) sein.

6 Die Bestimmungen zur Anwendung dieses Artikels sind in Anhang A V enthalten.

1 Der EAD kann EU-VS nur mit einem Drittstaat oder einer internationalen Organisation austauschen, wenn a) ein im Einklang mit Artikel 37 EUV und Artikel 218 AEUV geschlossenes Geheimschutzabkommen zwischen der EU und diesem Drittstaat oder dieser internationalen Organisation oder b) eine nach dem Verfahren des Artikels 15 Absatz 5 dieses Beschlusses geschlossene Verwaltungsvereinbarung zwischen dem Hohen Vertreter und den zuständigen Sicherheitsstellen dieses Drittstaats oder dieser internationalen Organisation über den Austausch von Verschlusssachen, die grundsätzlich nicht höher als „RESTREINT UE/EU RESTRICTED“ eingestuft sind, oder c) ein im Kontext einer GSVP-Krisenbewältigungsoperation zwischen der EU und diesem Drittstaat nach Artikel 37 EUV und Artikel 218 AEUV geschlossenes Rahmen- oder Ad-hoc-Abkommen über eine Beteiligung in Kraft ist und die darin festgelegten Bedingungen erfüllt sind. Ausnahmen zu dieser allgemeinen Regel sind in Anhang A VI Abschnitt V enthalten.

2 Verwaltungsvereinbarungen nach Absatz 1 Buchstabe b enthalten Bestimmungen, mit denen sichergestellt wird, dass EU-VS nach ihrer Entgegennahme durch Drittstaaten oder internationale Organisationen in einer ihrem Geheimhaltungsgrad angemessenen Weise nach Mindeststandards geschützt werden, die nicht weniger streng als die in diesem Beschluss festgelegten Standards sind. Informationen, die auf der Grundlage der in Absatz 1 Buchstabe c genannten Abkommen ausgetauscht werden, beschränken sich auf Informationen, die GSVP-Operationen betreffen, an denen sich der jeweilige Drittstaat auf der Grundlage dieser Abkommen und nach Maßgabe ihrer Bestimmungen beteiligt.

3 Wird zwischen der Union und einem beteiligten Drittstaat oder einer beteiligten internationalen Organisation anschließend ein Geheimschutzabkommen geschlossen, so tritt das Geheimschutzabkommen, soweit der Austausch und die Bearbeitung von EU-VS betroffen sind, an die Stelle der Bestimmungen über den Austausch von Verschlusssachen in dem Rahmen- oder Ad-hoc-Beteiligungsabkommen oder der Ad-hoc-Verwaltungsvereinbarung.

4 Für die Zwecke einer GSVP-Operation erstellte EU-VS können gemäß den Absätzen 1 bis 3 und Anhang A VI gegenüber dem von Drittstaaten oder internationalen Organisationen für diese Operation abgeordneten Personal offengelegt werden. Wird diesem Personal Zugang zu EU-VS in Räumlichkeiten und/oder Kommunikations- und Informationssystemen einer GSVP-Operation gewährt, so müssen Maßnahmen (einschließlich der Aufzeichnung der offengelegten EU-VS) getroffen werden, um das Risiko des Verlusts oder der Kenntnisnahme durch Unbefugte gering zu halten. Entsprechende Maßnahmen sind in den einschlägigen Planungs- oder Missionsunterlagen festzulegen.

5 Es werden nach Artikel 17 dieses Beschlusses Bewertungsbesuche in Drittstaaten bzw. bei internationalen Organisationen durchgeführt, um die Wirksamkeit der zum Schutz von EU-VS getroffenen Sicherheitsvorkehrungen zu überprüfen.

6 Der Beschluss, EU-VS des EAD an einen Drittstaat oder eine internationale Organisation weiterzugeben, wird von Fall zu Fall nach Maßgabe von Art und Inhalt dieser Verschlusssachen, des Grundsatzes „Kenntnis nur, wenn nötig“ und der Vorteile für die EU gefasst. Der EAD holt die schriftliche Zustimmung etwaiger Stellen ein, die Verschlusssachen als Ausgangsmaterial für vom EAD stammende EU-VS bereitgestellt haben, um sicherzustellen, dass keine Einwände gegen die Weitergabe bestehen. Stammt eine Verschlusssache, um deren Weitergabe ersucht wird, nicht vom EAD, so holt der EAD zunächst die schriftliche Zustimmung des Herausgebers zur Weitergabe der Verschlusssache ein. Kann der EAD den Herausgeber nicht ermitteln, so trifft die Sicherheitsbehörde des EAD die Entscheidung an Stelle des Herausgebers, nachdem sie die einhellig befürwortende Stellungnahme der im Sicherheitsausschuss des EAD vertretenen Mitgliedstaaten eingeholt hat.

7 Die Bestimmungen zur Anwendung dieses Artikels sind in Anhang A VI enthalten.

1 Eine tatsächliche oder vermutete Verletzung der Sicherheit oder die tatsächliche oder vermutete Kenntnisnahme von Verschlusssachen durch Unbefugte wird unverzüglich der für Sicherheit in der Zentrale und Informationssicherheit im EAD zuständigen Direktion gemeldet, die gegebenenfalls die betroffenen Mitgliedstaaten oder sonstige betroffene Stellen informiert.

2 Wird bekannt oder besteht berechtigter Grund zu der Annahme, dass Verschlusssachen Unbefugten zur Kenntnis gelangt oder verloren gegangen sind, informiert die für Sicherheit in der Zentrale und Informationssicherheit im EAD zuständige Direktion die nationalen Sicherheitsbehörden der betroffenen Mitgliedstaaten und ergreift alle geeigneten Maßnahmen gemäß den einschlägigen Rechtsvorschriften, um a) Beweise zu sichern, b) sicherzustellen, dass der Fall zur Aufklärung des Sachverhalts von Personal untersucht wird, das von der Verletzung oder der Kenntnisnahme durch Unbefugte nicht unmittelbar betroffen ist, c) unverzüglich den Herausgeber oder sonstige betroffene Stellen zu verständigen, d) zu vermeiden, dass sich ein solcher Vorfall wiederholt, e) den potenziellen Schaden für die Interessen der EU oder der Mitgliedstaaten einzuschätzen und f) die zuständigen Stellen über die Auswirkungen der tatsächlichen oder vermuteten Kenntnisnahme durch Unbefugte und die getroffenen Maßnahmen zu unterrichten.

3 Gegen jedes Mitglied des dem EAD unterstehenden Personals, das für eine Verletzung der Sicherheitsvorschriften dieses Beschlusses verantwortlich ist, können disziplinarische Maßnahmen gemäß den geltenden Vorschriften ergriffen werden. Gegen jede Person, die für die unbefugte Kenntnisnahme oder den Verlust von Verschlusssachen verantwortlich ist, können disziplinarische Maßnahmen und/oder rechtliche Schritte gemäß den geltenden Rechts- und sonstigen Vorschriften ergriffen werden.

4 Während der Untersuchung einer Verletzung der Sicherheit und/oder einer unbefugten Kenntnisnahme von Verschlusssachen kann der Direktor der für Sicherheit in der Zentrale und Informationssicherheit im EAD zuständigen Direktion den Zugang der betreffenden Person zu EU-VS und zu den Räumlichkeiten des EAD aussetzen. Die Direktion Sicherheit der Generaldirektion Humanressourcen und Sicherheit der Kommission, das Sicherheitsbüro des Generalsekretariats des Rates, die nationalen Sicherheitsbehörden der betroffenen Mitgliedstaaten oder sonstige betroffene Stellen werden von einem solchen Beschluss unverzüglich informiert.