DECISIÓ DE LA COMISSIÓ (UE, Euratom) 2021/259, de 10 de febrer de 2021, per la qual s'estableixen les normes d'aplicació de la seguretat industrial en matèria d'ajudes classificades

Article 1

Aquesta Decisió estableix normes d'aplicació sobre seguretat industrial pel que fa a les subvencions classificades en el sentit de Decisió (UE, Euratom) 2015/444, i en particular el capítol 6 d'aquesta Decisió.

Aquesta Decisió estableix els requisits específics per garantir la protecció de la informació classificada de la UE (EUCI) en la publicació de convocatòries, i a l'hora d'atorgar subvencions i implementar els acords de subvenció classificada celebrats per la Comissió Europea.

Aquesta Decisió s'aplica a les subvencions que impliquen informació classificada en els següents nivells:(a) RESTREINT UE/EU RESTRICTED;(b) CONFIDENT UE/EU CONFIDENTIAL;(c) SECRET UE/EU SECRET.

Aquesta Decisió s'aplica sense perjudici de les normes específiques establertes en altres actes jurídics, com les relatives al Programa Europeu de Desenvolupament Industrial de Defensa.

Aquesta Decisió estableix normes d'aplicació sobre seguretat industrial pel que fa a les subvencions classificades en el sentit de Decisió (UE, Euratom) 2015/444, i en particular el capítol 6 d'aquesta Decisió.

2. Aquesta Decisió estableix els requisits específics per garantir la protecció de la informació classificada de la UE (EUCI) en la publicació de convocatòries, i a l'hora d'atorgar subvencions i implementar els acords de subvenció classificada celebrats per la Comissió Europea.

3. Aquesta Decisió s'aplica a les subvencions que impliquen informació classificada en els següents nivells:(a) RESTREINT UE/EU RESTRICTED;(b) CONFIDENTIEL UE/EU CONFIDENTIAL;(c) SECRET UE/EU SECRET.

4. Aquesta Decisió s'aplica sense perjudici de les normes específiques establertes en altres actes jurídics, com les relatives al Programa Europeu de Desenvolupament Industrial de Defensa.

Article 2

Com a part de les responsabilitats del funcionari autoritzador de l'autoritat de concessió a què es refereix el Reglament (UE, Euratom) 2018/1046 del Parlament Europeu i del Consell, s'assegurarà que l'ajut classificat compleixi amb la Decisió (UE, Euratom) 2015/444 i les seves normes d'aplicació.

A aquest efecte, el funcionari autoritzador interessat ha de sol·licitar en totes les fases l'assessorament de l'autoritat de seguretat de la Comissió sobre qüestions relatives als elements de seguretat d'un conveni classificat, programa o projecte, i ha d'informar el funcionari de seguretat local sobre els acords de concessió classificats signats. La decisió sobre el nivell de classificació de les matèries específiques ha de recaure en l'autoritat atorgadora i s'ha de prendre tenint en compte la guia de classificació de seguretat.

Quan s'apliquin les instruccions de seguretat del programa o del projecte a què fa referència l'apartat 3 de l'article 5, l'autoritat de concessió i l'autoritat de seguretat de la Comissió compliran amb les responsabilitats que se'ls assignin en aquestes instruccions.

En el respecte dels requisits d'aquestes normes d'aplicació, l'autoritat de seguretat de la Comissió cooperarà estretament amb les autoritats nacionals de seguretat ("NSAs") i les autoritats de seguretat designades ("DSAs") dels Estats membres afectats, en particular pel que fa a les autoritzacions de seguretat de les instal·lacions ("FSC") i les autoritzacions de seguretat del personal ("PSC"), els procediments de visita i els plans de transport.

Quan les subvencions siguin gestionades per agències executives de la UE o altres organismes de finançament i no s'apliquin les normes específiques establertes en altres actes legals a què fa referència l'apartat 4 de l'article 1:(a) el departament de la Comissió delegant exercirà els drets relatius a l'originador d'EUCI generats en el context de les subvencions si les disposicions de la delegació així ho preveuen;(b) el departament de la Comissió delegant serà responsable de determinar la classificació de seguretat;(c) les sol·licituds d'informació de despatx de seguretat i les notificacions a NSAs i/o DSAs s'enviaran a través de l'autoritat de seguretat de la Comissió.

Com a part de les responsabilitats del funcionari autoritzador de l'autoritat de concessió a què es refereix el Reglament (UE, Euratom) 2018/1046 del Parlament Europeu i del Consell, s'assegurarà que l'ajut classificat compleixi amb la Decisió (UE, Euratom) 2015/444 i les seves normes d'aplicació.

2. A aquest efecte, el funcionari autoritzador interessat, en totes les fases, ha de sol·licitar l'assessorament de l'autoritat de seguretat de la Comissió sobre qüestions relatives als elements de seguretat d'un conveni, programa o projecte de subvenció classificat, i ha d'informar el funcionari de seguretat local sobre els acords de subvenció classificats signats. La decisió sobre el nivell de classificació de les matèries específiques ha de recaure en l'autoritat atorgadora i s'ha de prendre tenint en compte la guia de classificació de seguretat.

3. Quan s'apliquin les instruccions de seguretat del programa o del projecte a què fa referència l'apartat 3 de l'article 5, l'autoritat de concessió i l'autoritat de seguretat de la Comissió compliran amb les responsabilitats que se'ls assignin en aquestes instruccions.

4. En el respecte dels requisits d'aquestes normes d'aplicació, l'autoritat de seguretat de la Comissió cooperarà estretament amb les autoritats nacionals de seguretat ("NSAs") i les autoritats de seguretat designades ("DSAs") dels Estats membres afectats, en particular pel que fa a les autoritzacions de seguretat de les instal·lacions ("FSC") i les autoritzacions de seguretat del personal ("PSC"), els procediments de visita i els plans de transport.

En el cas que les subvencions siguin gestionades per organismes executius de la UE o altres organismes de finançament i no s'apliquin les normes específiques establertes en altres actes legals a què fa referència l'apartat 4 de l'article 1:(a) el departament de la Comissió delegant exercirà els drets relatius a l'originador d'EUCI generats en el context de les subvencions si les disposicions de la delegació així ho preveuen;(b) el departament de la Comissió delegant serà responsable de determinar la classificació de seguretat;(c) les sol·licituds d'informació de despatx de seguretat i les notificacions a NSAs i/o DSAs s'enviaran a través de l'autoritat de seguretat de la Comissió.

Article 3

Les parts classificades de les ajudes s'aplicaran únicament pels beneficiaris registrats en un Estat membre, o pels beneficiaris registrats en un tercer país o establerts per una organització internacional en la qual aquest tercer país o organització internacional hagi conclòs un acord de seguretat de la informació amb la Unió o hagi celebrat un acord administratiu amb la Comissió [E0008].

Abans d'iniciar la convocatòria d'una beca classificada, l'autoritat atorgadora determinarà la classificació de seguretat de qualsevol informació que es pugui facilitar als sol·licitants, així com la classificació màxima de seguretat de qualsevol informació utilitzada o generada en l'execució de l'acord de subvenció o programa o projecte, o almenys el volum i tipus d'informació previst que es produirà o tractarà, i la necessitat d'un sistema de comunicació i informació classificats (CIS).

L'autoritat de concessió ha d'assegurar que les convocatòries d'ajuts classificats proporcionin informació sobre les obligacions especials de seguretat relacionades amb la informació classificada. La documentació de la convocatòria ha d'incloure aclariments sobre el termini perquè els beneficiaris obtinguin els FSC, on siguin necessaris. Els annexos I i II contenen plantilles de mostra per a la informació relativa a les condicions de la convocatòria.

L'autoritat de concessió garantirà que la informació classificada RESTREINT UE/EU RESTRICTED, CONFIDENTIEL UE/EU CONFIDENTIAL i SECRET UE/EU SECRET es divulgui als sol·licitants només després d'haver signat un acord de no divulgació, obligant als sol·licitants a gestionar i protegir EUCI d'acord amb la Decisió (UE, Euratom) 2015/444, les seves normes d'aplicació i les normes nacionals aplicables.

En el cas que RESTREINT UE/UE faciliti informació restringida als sol·licitants, els requisits mínims esmentats en l'apartat 7 de l'article 5 d'aquesta Decisió s'inclouran en la convocatòria o en les disposicions de no divulgació concloses en la fase de proposta.

Tots els sol·licitants i beneficiaris que estiguin obligats a gestionar o emmagatzemar la informació classificada CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET dins de les seves instal·lacions, ja sigui en la fase de proposta o durant l'execució del propi acord de subvenció classificada, tindran un FSC en el nivell requerit, excepte els casos esmentats en l'apartat 9. A continuació, s'identifiquen els tres escenaris que poden sorgir durant la fase de proposta d'una beca classificada UE/EU CONFIDENTIAL o SECRET UE/EU SECRET level durant la fase de proposta:(b) accés a EUCI a CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET level durant la fase de proposta:(c) handling o storage of EUCI a CONFIDENTIEL UE/EU CONFIDENTIAL or SECRET UE/EU SECRET level on the premises of the applicant during the proposal stage:(c) handling or storage of EUCI a CONFIDENTIEL UE/EU CONFIDENTIAL or SECRET UE/EU SECRET level on the premises of the applicant during the proposal stage:

En principi, no es requerirà un FSC o PSC per a l'accés a la informació restringida RESTREINT UE/EU, ja sigui en la fase de proposta o per a l'execució de l'acord de subvenció. Quan els Estats membres requereixin un FSC o PSC per als acords de subvenció o subcontractacions a RESTREINT UE/EU nivell restringit segons les seves lleis i reglaments nacionals, tal com s'enumeren a l'Annex IV, aquests requisits nacionals no imposaran obligacions addicionals a altres Estats membres ni exclouran als sol·licitants, beneficiaris o subcontractistes dels Estats membres que no tinguin aquests requisits FSC o PSC per a l'accés a la informació restringida RESTREINT UE/EU dels acords de subvenció relacionats o subcontractades, o es durà a terme en els Estats membres de conformitat amb les seves lleis i reglaments nacionals.

Quan es requereixi un FSC en la tramitació d'una convocatòria i per a l'aplicació d'un acord de subvenció classificat, l'autoritat de concessió presentarà, a través de l'autoritat de seguretat de la Comissió, una sol·licitud a la NSA o DSA del beneficiari mitjançant una fitxa d'informació d'autorització de seguretat ("FSCIS") o qualsevol formulari electrònic equivalent establert. Annex III, Apèndix D, conté un exemple d'un FSCIS [E0009]. La resposta a un FSCIS es proporciona, en la mesura que sigui possible, en el termini de deu dies hàbils a partir de la data de la sol·licitud.

Quan els establiments governamentals dels Estats membres sota el control del seu govern participen en subvencions classificades que requereixen FSC, i quan els FSC no s'emeten per a aquests establiments d'acord amb les lleis nacionals, l'autoritat de concessió verificarà amb la NSA o la DSA en qüestió, a través de l'autoritat de seguretat de la Comissió, si aquests establiments governamentals són capaços de gestionar EUCI al nivell requerit.

Quan es requereixi un PSC per a l'execució d'un acord de subvenció classificat i on, d'acord amb les normes nacionals, sigui necessari un FSC abans de la concessió d'un PSC, l'autoritat de concessió comprovarà amb la NSA o DSA del beneficiari, a través de l'autoritat de seguretat de la Comissió, utilitzant una FSCIS, que el beneficiari té un FSC o que el procés FSC està en marxa. En aquest cas, la Comissió no emetrà sol·licituds de PSC utilitzant la fulla d'informació de seguretat del personal ("PSCIS").

Les parts classificades de les ajudes s'aplicaran únicament pels beneficiaris registrats en un Estat membre, o pels beneficiaris registrats en un tercer país o establerts per una organització internacional en la qual aquest tercer país o organització internacional hagi conclòs un acord de seguretat de la informació amb la Unió o hagi celebrat un acord administratiu amb la Comissió [E0008].

2. abans d'iniciar la convocatòria d'una beca classificada, l'autoritat atorgadora determinarà la classificació de seguretat de qualsevol informació que es pugui facilitar als sol·licitants, així com la classificació màxima de seguretat de qualsevol informació utilitzada o generada en l'execució de l'acord de subvenció o programa o projecte, o almenys el volum i tipus d'informació previst que es produirà o tractarà, i la necessitat d'un sistema de comunicació i informació classificats (CIS).

3. L'autoritat de concessió s'assegurarà que les convocatòries d'ajuts classificats proporcionin informació sobre les obligacions especials de seguretat relacionades amb la informació classificada. La documentació de la convocatòria inclourà aclariments sobre el termini perquè els beneficiaris obtinguin els FSC, on siguin necessaris. Els annexos I i II contenen plantilles de mostra per a la informació relativa a les condicions de la convocatòria.

4. L'autoritat de concessió garantirà que la informació classificada RESTREINT UE/EU RESTRICTED, CONFIDENTIEL UE/EU CONFIDENTIAL i SECRET UE/EU SECRET es divulgui als sol·licitants només després d'haver signat un acord de no divulgació, obligant als sol·licitants a gestionar i protegir EUCI d'acord amb la Decisió (UE, Euratom) 2015/444, les seves normes d'aplicació i les normes nacionals aplicables.

En el cas que RESTREINT UE/UE faciliti informació restringida als sol·licitants, els requisits mínims esmentats en l'apartat 7 de l'article 5 d'aquesta Decisió s'inclouran en la convocatòria o en les disposicions de no divulgació concloses en la fase de proposta.

6. Tots els sol·licitants i beneficiaris que estiguin obligats a gestionar o emmagatzemar la informació classificada CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET dins de les seves instal·lacions, ja sigui en la fase de proposta o durant l'execució del propi acord de subvenció classificada, tindran un FSC en el nivell requerit, excepte els casos esmentats en l'apartat 9. A continuació, s'identifiquen els tres escenaris que poden sorgir durant la fase de proposta d'una beca classificada UE/EU CONFIDENTIAL o SECRET UE/EU SECRET level durant la fase de proposta:(b) accés a EUCI a CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET level durant la fase de proposta:(c) handling or storage of EUCI a CONFIDENTIEL UE/EU CONFIDENTIAL or SECRET UE/EU SECRET level on the premises of the applicant during the proposal stage:(c) handling or storage of EUCI a CONFIDENTIEL UE/EU CONFIDENTIAL or SECRET UE/EU SECRET level on the premises of the applicant during the proposal stage:

7.- En principi, no s'exigirà un FSC o PSC per a l'accés a la informació restringida RESTREINT UE/EU, ja sigui en la fase de proposta o per a l'execució de l'acord de subvenció. Quan els Estats membres requereixin un FSC o PSC per als acords de subvenció o subcontractacions a RESTREINT UE/EU nivell restringit segons les seves lleis i reglaments nacionals, tal com s'enumeren a l'Annex IV, aquests requisits nacionals no imposaran obligacions addicionals a altres Estats membres ni exclouran als sol·licitants, beneficiaris o subcontractistes dels Estats membres que no tinguin aquests requisits FSC o PSC per a l'accés a la informació restringida RESTREINT UE/EU dels acords de subvenció relacionats o subcontractades, ni es realitzaran en els Estats membres de conformitat amb les seves lleis i reglaments nacionals.

8. Quan es requereixi un FSC en la tramitació d'una convocatòria i per a l'aplicació d'un acord de subvenció classificat, l'autoritat de concessió presentarà, a través de l'autoritat de seguretat de la Comissió, una sol·licitud a la NSA o DSA del beneficiari mitjançant una fitxa d'informació d'autorització de seguretat ("FSCIS") o qualsevol formulari electrònic equivalent establert. Annex III, Apèndix D, conté un exemple d'un FSCIS [E0009]. La resposta a un FSCIS es proporciona, en la mesura que sigui possible, en el termini de deu dies hàbils a partir de la data de la sol·licitud.

Quan els establiments governamentals dels Estats membres sota el control del seu govern participin en subvencions classificades que requereixin FSC, i quan els FSC no s'emetin per a aquests establiments d'acord amb les lleis nacionals, l'autoritat de concessió verificarà amb la NSA o la DSA en qüestió, a través de l'autoritat de seguretat de la Comissió, si aquests establiments governamentals són capaços de gestionar EUCI al nivell requerit.

En el cas que es requereixi un PSC per a la realització d'un acord de subvenció classificat i en el qual, d'acord amb les normes nacionals, sigui necessari un FSC abans de la concessió d'un PSC, l'autoritat de concessió comprovarà amb la NSA o DSA del beneficiari, a través de l'autoritat de seguretat de la Comissió, utilitzant una FSCIS, que el beneficiari té un FSC o que el procés FSC està en marxa. En aquest cas, la Comissió no emetrà sol·licituds de PSC utilitzant la fulla d'informació de seguretat del personal ("PSCIS").

Article 4

Les condicions sota les quals els beneficiaris podran subcontractar les tasques d'actuació que impliquin EUCI es definiran en la convocatòria i en l'acord de subvenció. Aquestes condicions inclouen el requisit que totes les FSCIS es presentin a través de l'autoritat de seguretat de la Comissió. La subcontractació estarà subjecta al consentiment previ per escrit de l'autoritat de concessió. Si escau, la subcontractació complirà amb l'acte bàsic que estableix el programa.

Les parts classificades de les subvencions només es subcontractaran a entitats registrades en un Estat membre, o a entitats registrades en un tercer país o establertes per una organització internacional en la qual aquest tercer país o organització internacional hagi conclòs un acord de seguretat de la informació amb la Unió o hagi celebrat un acord administratiu amb la Comissió [E0010].

Les condicions sota les quals els beneficiaris poden subcontractar tasques d'acció relacionades amb EUCI es definiran en la convocatòria i en l'acord de subvenció. Aquestes condicions inclouen el requisit que totes les FSCIS es presentin a través de l'autoritat de seguretat de la Comissió. La subcontractació estarà subjecta al consentiment previ per escrit de l'autoritat de concessió. Si escau, la subcontractació complirà amb l'acte bàsic que estableix el programa.

Les parts classificades de les ajudes es subcontractaran únicament a entitats inscrites en un Estat membre, o a entitats inscrites en un tercer país o establertes per una organització internacional en la qual aquest tercer país o organització internacional hagi conclòs un acord de seguretat de la informació amb la Unió o hagi celebrat un acord administratiu amb la Comissió [E0010].

Article 5

A l'hora d'atorgar una beca classificada, l'autoritat de concessió, juntament amb l'autoritat de seguretat de la Comissió, garantirà que les obligacions dels beneficiaris en matèria de protecció de l'EUCI utilitzades o generades en l'execució de l'acord de subvenció siguin part integrant de l'acord de subvenció. Els requisits de seguretat específics de l'ajut prendran la forma d'una carta d'aspectes de seguretat ("SAL").

Abans de la signatura d'una beca classificada, l'autoritat atorgadora aprovarà una guia de classificació de seguretat ("SCG") per a les tasques a realitzar i la informació generada en la implementació de l'ajut, o a nivell de programa o projecte, si escau. El SCG formarà part del SAL.

Els requisits de seguretat específics del programa o del projecte han d'adoptar la forma d'un programa (o projecte) d'instrucció de seguretat ("PSI"). El PSI es pot redactar utilitzant les disposicions de la plantilla SAL establertes a l'Annex III. El PSI ha de ser desenvolupat pel departament de la Comissió que gestiona el programa o projecte, en estreta cooperació amb l'autoritat de seguretat de la Comissió, i sotmès a assessorament al Grup d'Experts en Seguretat de la Comissió. Si un acord de subvenció forma part d'un programa o projecte amb el seu propi PSI, el SAL de l'acord de subvenció ha de tenir un formulari simplificat i ha d'incloure una referència a les disposicions de seguretat establertes en el PSI del programa o projecte.

Excepte els casos esmentats a l'apartat 9 de l'article 3, l'acord de subvenció classificada no es signarà fins que la NSA o la DSA del sol·licitant hagin confirmat el FSC del sol·licitant, o, quan l'acord de subvenció classificada s'atorgui a un consorci, fins que la NSA o DSA d'almenys un sol·licitant, dins del consorci, o més si fos necessari, hagi confirmat el FSC del sol·licitant.

En principi, i excepte en altres normes pertinents, l'autoritat de concessió es considerarà l'originador d'EUCI generat en l'execució de l'acord de subvenció.

L'autoritat de concessió, a través de l'autoritat de seguretat de la Comissió, notificarà als NSA i/o DSA de tots els beneficiaris i subcontractistes sobre la signatura d'acords de subvenció classificats o subcontractistes i sobre qualsevol pròrroga o interrupció anticipada d'aquests acords de subvenció o subcontractacions.

Els acords de subvenció que incloguin informació classificada RESTREINT UE/EU RESTRICTED inclouran una clàusula de seguretat que farà vinculants als beneficiaris les disposicions previstes a l'Annex III, annex E. Aquests acords de subvenció inclouran un SAL que estableixi, com a mínim, els requisits per al tractament d'informació RESTREINT UE/UE RESTRINGIda, inclosos els aspectes de garantia de la informació i els requisits específics que han de complir els beneficiaris pel que fa a l'acreditació de la seva gestió del CIS RESTREINT UE/UE informació restringida.

Quan això sigui requerit per les lleis i reglaments nacionals dels Estats membres, els NSA o els DSAs garanteixen que els beneficiaris o subcontractistes sota la seva jurisdicció compleixen amb les disposicions de seguretat aplicables per a la protecció de la informació restringida de RESTREINT UE/UE i realitzen visites de verificació a les instal·lacions dels beneficiaris o subcontractistes situades en el seu territori. Quan la NSA o la DSA no estiguin sota aquesta obligació, l'autoritat de concessió garantirà que els beneficiaris apliquin les disposicions de seguretat requerides establertes en l'Annex III, annex E.

En la concessió d'una beca classificada, l'autoritat de concessió, juntament amb l'autoritat de seguretat de la Comissió, ha d'assegurar que les obligacions dels beneficiaris en matèria de protecció de l'EUCI utilitzades o generades en l'execució de l'acord de subvenció formen part integrant de l'acord de subvenció. Els requisits de seguretat específics de la subvenció han d'adoptar la forma d'una carta d'aspectes de seguretat ("SAL").

2. Abans de la signatura d'una beca classificada, l'autoritat atorgadora aprovarà una guia de classificació de seguretat ("SCG") per a les tasques a realitzar i la informació generada en la implementació de la beca, o a nivell de programa o projecte, si escau. El SCG formarà part del SAL.

3. Els requisits de seguretat específics del programa o del projecte prendran la forma d'una instrucció de seguretat ("PSI"). El PSI es pot redactar utilitzant les disposicions de la plantilla SAL establertes a l'Annex III. El PSI es desenvoluparà pel departament de la Comissió que gestiona el programa o projecte, en estreta cooperació amb l'autoritat de seguretat de la Comissió, i se sotmetrà a assessorament al Grup d'Experts en Seguretat de la Comissió. Quan un acord de subvenció formi part d'un programa o projecte amb el seu propi PSI, el SAL de l'acord de subvenció tindrà un formulari simplificat i inclourà una referència a les disposicions de seguretat establertes en el PSI del programa o projecte.

Llevat dels casos esmentats a l'apartat 9 de l'article 3, l'acord de subvenció classificada no es signarà fins que la NSA o la DSA del sol·licitant hagin confirmat el FSC del sol·licitant, o, quan l'acord de subvenció classificada s'atorgui a un consorci, fins que la NSA o DSA d'almenys un sol·licitant, dins del consorci, o més si fos necessari, hagi confirmat el FSC del sol·licitant.

5. En principi, i llevat que s'estableixi el contrari en altres normes pertinents, l'autoritat de concessió es considerarà l'originador d'EUCI generat en l'execució de l'acord de subvenció.

6. L'autoritat de concessió, a través de l'autoritat de seguretat de la Comissió, notificarà als NSA i/o DSA de tots els beneficiaris i subcontractistes sobre la signatura d'acords de subvenció classificats o subcontractistes i sobre qualsevol pròrroga o interrupció anticipada d'aquests acords de subvenció o subcontractacions.

Els acords de subvenció que incloguin informació classificada RESTREINT UE/EU RESTRICTED inclouran una clàusula de seguretat que farà vinculants als beneficiaris les disposicions previstes a l'Annex III de l'Annex E. Aquests acords de subvenció inclouran un SAL que estableixi, com a mínim, els requisits per al tractament d'informació RESTREINT UE/UE RESTRINGIda, inclosos els aspectes de garantia de la informació i els requisits específics que han de complir els beneficiaris pel que fa a l'acreditació de la seva gestió del CIS RESTREINT UE/UE informació restringida.

Quan això sigui requerit per les lleis i reglaments nacionals dels Estats membres, els NSA o els DSAs garanteixen que els beneficiaris o subcontractistes sota la seva jurisdicció compleixen amb les disposicions de seguretat aplicables per a la protecció de la informació restringida de RESTREINT UE/UE i realitzen visites de verificació a les instal·lacions dels beneficiaris o subcontractistes situades en el seu territori. Quan la NSA o la DSA no estiguin sota aquesta obligació, l'autoritat de concessió garantirà que els beneficiaris apliquin les disposicions de seguretat requerides establertes en l'Annex III, annex E.

Article 6

L'autoritat de concessió garantirà que els acords de subvenció classificats incloguin disposicions que estableixin que el personal dels beneficiaris o subcontractistes que, per al compliment de l'acord de subvenció o subcontractació classificats, requereixin accés a EUCI, es podrà concedir aquest accés només si:(a) s'ha establert que tenen necessitat de conèixer;(b) per a la informació classificada CONFIDENT UE/EU CONFIDENCIAL o SECRET UE/EU SECRET, han estat alliberats de seguretat al nivell corresponent per la NSA o DSA respectives o qualsevol altra autoritat de seguretat competent;(c) han estat informats de les normes de seguretat aplicables per protegir EUCI, i han reconegut les seves responsabilitats pel que fa a la protecció d'aquesta informació.

Si escau, l'accés a EUCI també serà conforme a l'acte bàsic que estableix el programa i tindrà en compte les marques addicionals definides en el SCG.

Si un beneficiari o subcontractista desitja contractar un nacional d'un país no comunitari en una posició que requereixi l'accés a EUCI classificat CONFIDENT UE/EU CONFIDENTIAL o SECRET UE/EU SECRET, és responsabilitat del beneficiari o subcontractista iniciar el procediment de compensació de seguretat d'aquesta persona d'acord amb les lleis i regulacions nacionals aplicables en el lloc on s'ha de concedir l'accés a EUCI.

L'autoritat de concessió garantirà que els acords de subvenció classificats incloguin disposicions que estableixin que el personal dels beneficiaris o subcontractistes que, per al compliment de l'acord de subvenció o subcontractació classificats, requereixin accés a EUCI, es podrà concedir aquest accés només si:(a) s'ha establert que tenen necessitat de conèixer;(b) per a la informació classificada CONFIDENT UE/EU CONFIDENCIAL o SECRET UE/EU SECRET, han estat alliberats de seguretat al nivell corresponent per la NSA o DSA respectives o qualsevol altra autoritat de seguretat competent;(c) han estat informats de les normes de seguretat aplicables per protegir EUCI, i han reconegut les seves responsabilitats pel que fa a la protecció d'aquesta informació.

2. En el seu cas, l'accés a EUCI també serà conforme a l'acte bàsic que estableix el programa i tindrà en compte les marques addicionals definides en el SCG.

Si un beneficiari o subcontractista desitja contractar un nacional d'un país no comunitari en una posició que requereixi l'accés a EUCI classificat CONFIDENT UE/EU CONFIDENTIAL o SECRET UE/EU SECRET, és responsabilitat del beneficiari o subcontractista iniciar el procediment de despatx de seguretat d'aquesta persona d'acord amb les lleis i regulacions nacionals aplicables en el lloc on s'ha de concedir l'accés a EUCI.

Article 7

Quan les persones externes ("experts") estiguin involucrades en controls, revisions o auditories realitzades per l'autoritat de concessió o en revisions d'acompliment dels beneficiaris que requereixin accés a la informació classificada CONFIDENT UE / UE CONFIDENCIAL o SECRET UE / UE SECRET, se'ls proporcionarà un contracte només si han estat exempts de seguretat en el nivell corresponent per la NSA o DSA respectius o qualsevol altra autoritat de seguretat competent. L'autoritat de concessió, a través de l'autoritat de seguretat de la Comissió, ha de comprovar i, quan sigui necessari, demanar a l'NSA o DSA que iniciï el procés d'obtenció d'experts almenys sis mesos abans de l'inici dels seus respectius contractes.

Abans de signar els seus contractes, els experts seran informats sobre les normes de seguretat aplicables per protegir EUCI, i hauran reconegut les seves responsabilitats pel que fa a la protecció d'aquesta informació.

Quan les persones externes ("experts") estiguin involucrades en controls, revisions o auditories realitzades per l'autoritat de concessió o en revisions d'acompliment dels beneficiaris que requereixin accés a la informació classificada CONFIDENT UE / UE CONFIDENCIAL o SECRET UE / UE SECRET, se'ls proporcionarà un contracte només si han estat exempts de seguretat en el nivell corresponent per la NSA o DSA respectius o qualsevol altra autoritat de seguretat competent. L'autoritat de concessió, a través de l'autoritat de seguretat de la Comissió, ha de comprovar i, quan sigui necessari, demanar a l'NSA o DSA que iniciï el procés d'obtenció d'experts almenys sis mesos abans de l'inici dels seus respectius contractes.

2. Abans de signar els seus contractes, els experts seran informats sobre les normes de seguretat aplicables per protegir EUCI, i hauran reconegut les seves responsabilitats pel que fa a la protecció d'aquesta informació.

Article 8

Quan l'autoritat de concessió, els experts, els beneficiaris o els subcontractistes requereixin l'accés a la informació classificada CONFIDENT UE/UE CONFIDENCIAL o SECRET UE/EU SECRET en les instal·lacions de l'altre en el context de l'aplicació d'un acord de subvenció classificada, les visites es concertaran en col·laboració amb les NSA o les DSA o qualsevol altra autoritat de seguretat competent en qüestió.

Les visites a què fa referència l'apartat 1 estaran subjectes als següents requisits:(a) la visita tindrà una finalitat oficial relacionada amb la beca classificada;(b) qualsevol visitant tindrà un PSC al nivell requerit i tindrà una necessitat de coneixement per accedir a EUCI utilitzada o generada en la realització de la beca classificada.

Quan l'autoritat de concessió, els experts, els beneficiaris o els subcontractistes requereixin l'accés a la informació classificada CONFIDENT UE/UE CONFIDENCIAL o SECRET UE/EU SECRET en les seves pròpies instal·lacions en el context de l'aplicació d'un acord de subvenció classificada, les visites es concertaran en col·laboració amb els NSA o DSA o qualsevol altra autoritat de seguretat competent en qüestió.

2. Les visites a què fa referència l'apartat 1 estaran subjectes als següents requisits:(a) la visita tindrà una finalitat oficial relacionada amb la beca classificada;(b) qualsevol visitant tindrà un PSC al nivell requerit i tindrà una necessitat de coneixement per accedir a EUCI utilitzada o generada en la realització de la beca classificada.

Article 9

Les visites dels beneficiaris o subcontractistes a les instal·lacions d'altres beneficiaris o subcontractistes, o a la concessió de locals d'autoritat, que impliquin l'accés a la informació classificada CONFIDENT UE/EU CONFIDENCIAL o SECRET UE/EU SECRET s'organitzaran d'acord amb el procediment següent:(a) el responsable de seguretat de la instal·lació que envia el visitant completarà totes les parts pertinents del formulari de sol·licitud de visita (RFV) i presentarà la sol·licitud a la NSA o DSA de la instal·lació d'enviament abans de presentar el PSC de la instal·lació d'enviament (o l'autoritat de seguretat de la instal·lació d'acollida que autoritzi o denegui la NSA o DSA de la instal·lació d'acollida;(d) es considerarà aprovada una RFV si no es plantegen objeccions fins a cinc dies hàbils abans de la data de la visita.

Les visites mitjançant la concessió de funcionaris de l'autoritat o experts o auditors a les instal·lacions dels beneficiaris o subcontractistes que impliquin l'accés a la informació classificada CONFIDENT UE/EU CONFIDENCIAL o SECRET UE/EU SECRET s'organitzaran d'acord amb el procediment següent:(a) el visitant completarà totes les parts rellevants del formulari de RFV i el sotmetrà a l'autoritat de seguretat de la Comissió abans de sotmetre el VFVR a l'NSA o DSA de la instal·lació amfitriona;(c) l'autoritat de seguretat de la Comissió obtindrà una resposta de l'NSA o DSA de la instal·lació amfitriona autoritzant o denegant el VFVR;(d) es considerarà aprovat un VFVR si no es plantegen objeccions fins a cinc dies hàbils abans de la data de la visita.

Un VFR pot cobrir una sola visita o visites recurrents. En el cas de les visites recurrents, el VFR pot ser vàlid fins a un any des de la data d'inici sol·licitada.

La validesa de qualsevol RFV no excedirà la validesa del PSC del visitant.

Com a norma general, un VFR s'ha de sotmetre a l'autoritat de seguretat competent de la instal·lació amfitriona almenys 15 dies hàbils abans de la data de la visita.

Les visites dels beneficiaris o subcontractistes a les instal·lacions d'altres beneficiaris o subcontractistes, o a la concessió de locals d'autoritat, que impliquin l'accés a la informació classificada CONFIDENT UE/EU CONFIDENCIAL o SECRET UE/EU SECRET s'organitzaran d'acord amb el procediment següent:(a) el responsable de seguretat de la instal·lació que envia el visitant completarà totes les parts rellevants del formulari de sol·licitud de visita (RFV) i presentarà la sol·licitud a la NSA o DSA de la instal·lació d'enviament abans de presentar el PSC de la instal·lació d'enviament (o l'autoritat de seguretat de la instal·lació d'acollida que autoritzi o denegui la NSA o DSA de la instal·lació d'acollida;(d) es considerarà aprovada una RFV si no es plantegen objeccions fins a cinc dies hàbils abans de la data de la visita.

2. Les visites mitjançant la concessió de funcionaris de l'autoritat o experts o auditors a les instal·lacions dels beneficiaris o subcontractistes que impliquin l'accés a la informació classificada CONFIDENT UE/EU CONFIDENCIAL o SECRET UE/EU SECRET s'organitzaran d'acord amb el procediment següent:(a) el visitant completarà totes les parts rellevants del formulari de RFV i el sotmetrà a l'autoritat de seguretat de la Comissió abans de sotmetre el VFVR a l'NSA o DSA de la instal·lació amfitriona;(c) l'autoritat de seguretat de la Comissió obtindrà una resposta de l'NSA o DSA de la instal·lació amfitriona autoritzant o denegant el VFVR;(d) es considerarà aprovat un VFVR si no es plantegen objeccions fins a cinc dies hàbils abans de la data de la visita.

3. Un VFR pot cobrir una sola visita o visites recurrents. En el cas de les visites recurrents, el VFR pot ser vàlid fins a un any des de la data d'inici sol·licitada.

4. La validesa de qualsevol RFV no excedirà la validesa del PSC del visitant.

5. Com a norma general, un VFR s'ha de sotmetre a l'autoritat de seguretat competent de la instal·lació amfitriona almenys 15 dies hàbils abans de la data de la visita.

Article 10

Abans de permetre als visitants tenir accés a EUCI, l'oficina de seguretat de la instal·lació amfitriona ha de complir amb tots els procediments de seguretat relacionats amb la visita i les normes establertes per la seva NSA o DSA.

Els visitants hauran d'acreditar la seva identitat a l'arribada a les instal·lacions d'acollida presentant un document d'identitat o passaport vàlid. Aquesta informació d'identificació correspondrà a la informació facilitada en el RFV.

La instal·lació amfitriona garantirà que es guardin registres de tots els visitants, inclosos els seus noms, l'organització a la qual representen, la data de venciment del PSC, la data de la visita i els noms de les persones visitades. Aquests registres es conservaran durant un període d'almenys cinc anys, o més si així ho requereixen les normes i reglaments nacionals del país on es troba la instal·lació amfitriona.

1. Abans de permetre als visitants tenir accés a EUCI, l'oficina de seguretat de la instal·lació amfitriona ha de complir amb tots els procediments de seguretat relacionats amb la visita i les normes establertes per la seva NSA o DSA.

2. Els visitants hauran d'acreditar la seva identitat a l'arribada a les instal·lacions d'acollida presentant un document d'identitat o passaport vàlid. Aquesta informació d'identificació correspondrà a la informació facilitada en el RFV.

3. La instal·lació amfitriona s'assegurarà que es guardin registres de tots els visitants, inclosos els seus noms, l'organització que representen, la data de venciment del PSC, la data de la visita i els noms de les persones visitades. Aquests registres es conservaran durant un període d'almenys cinc anys, o més si així ho requereixen les normes i reglaments nacionals del país on es troba la instal·lació amfitriona.

Article 11

En el context de projectes específics, les NSA o DSA pertinents i l'autoritat de seguretat de la Comissió poden acordar un procediment pel qual les visites d'una ajuda classificada específica es poden concertar directament entre el responsable de seguretat del visitant i el responsable de seguretat de la instal·lació a visitar. Una plantilla del formulari que s'utilitzarà a aquest efecte està establerta en l'Annex III, annex C. Aquest procediment excepcional s'establirà en el PSI o en altres disposicions específiques. En aquests casos, no s'aplicaran els procediments establerts en l'article 9 i l'article 10, apartat 1.

Les visites que impliquin l'accés a la informació classificada RESTREINT UE/EU RESTRINGIda es concertaran directament entre l'entitat emissora i receptora, sense necessitat de seguir els procediments establerts en l'article 9 i l'article 10(1).

En el context de projectes específics, les NSA o les DSA pertinents i l'autoritat de seguretat de la Comissió poden acordar un procediment pel qual les visites d'una beca classificada específica es poden concertar directament entre el responsable de seguretat del visitant i el responsable de seguretat de la instal·lació a visitar. Una plantilla del formulari que s'utilitzarà a aquest efecte s'estableix en l'Annex III, annex C. Aquest procediment excepcional s'establirà en el PSI o en altres disposicions específiques. En aquests casos, no s'aplicaran els procediments establerts en l'article 9 i l'article 10(1).

Les visites que impliquin l'accés a la informació classificada RESTREINT UE/EU RESTRINGIda es concertaran directament entre l'entitat emissora i receptora, sense necessitat de seguir els procediments establerts en l'article 9 i en l'article 10(1).

Article 12

L'autoritat de concessió ha d'assegurar que totes les decisions relacionades amb el trasllat i el transport d'EUCI estan d'acord amb la Decisió (UE, Euratom) 2015/444 i les seves normes d'aplicació, i amb els termes de l'acord de subvenció classificat, incloent el consentiment de l'originador.

Article 13

La manipulació i transmissió electrònica d'EUCI es realitzarà d'acord amb els capítols 5 i 6 de la Decisió (UE, Euratom) 2015/444 i les seves normes d'aplicació.

Els sistemes de comunicació i informació propietat d'un beneficiari i utilitzats per gestionar l'EUCI per a l'execució de l'acord de subvenció ("CEIbeneficiary") estaran subjectes a l'acreditació per part de l'autoritat responsable de l'acreditació de seguretat ("SAA"). Qualsevol transmissió electrònica d'EUCI estarà protegida per productes criptogràfics aprovats d'acord amb l'article 36, apartat 4, de la Decisió (UE, Euratom) 2015/444. Les mesures de seguretat de TEMPEST s'aplicaran d'acord amb l'article 36, apartat 6, d'aquesta Decisió.

L'acreditació de seguretat del CIS beneficiari a nivell RESTREINT UE/EU RESTRICTED level i de qualsevol interconnexió del mateix podrà ser delegada al responsable de seguretat d'un beneficiari si així ho permeten les lleis i reglaments nacionals. En cas de delegar aquesta tasca, el beneficiari serà responsable d'aplicar els requisits mínims de seguretat descrits a la SAL en el tractament de la informació RESTREINT UE/EU RESTRICTED en el seu CIS. No obstant això, les NSA o DSA pertinents, i les SAAs conservaran la responsabilitat de la protecció de la informació RESTREINT UE/EU RESTRICTED, gestionada pel beneficiari i el dret d'inspeccionar les mesures de seguretat adoptades pel beneficiari i, quan ho requereixin les lleis i reglaments nacionals, la SAA nacional competent, amb una declaració de compliment que acrediti que el CIS beneficiari i les interconnexions relacionades han estat acreditades per al maneig de EUCI a nivell RESTREINT UE/EU RESTRICTED level [E0011].

La manipulació i transmissió electrònica de l'EUCI es realitzarà d'acord amb els capítols 5 i 6 de la Decisió (UE, Euratom) 2015/444 i les seves normes d'aplicació.

2. L'acreditació de seguretat del CIS beneficiari que tracti EUCI a nivell RESTREINT UE/EU RESTRINGIT i de qualsevol interconnexió d'aquest podrà ser delegada al responsable de seguretat d'un beneficiari si així ho permeten les lleis i reglaments nacionals. En cas de delegar aquesta tasca, el beneficiari serà responsable d'aplicar els requisits mínims de seguretat descrits a la SAL en el tractament de la informació RESTREINT UE/EU RESTRINGIda del seu CIS. No obstant això, les NSA o DSA pertinents i les SAAs conservaran la responsabilitat de la protecció de la informació RESTREINT UE/EU restringida gestionada pel beneficiari i, quan així ho requereixin les lleis i reglaments nacionals, la SAA nacional competent, amb una declaració de compliment que acrediti que el CIS beneficiari i les interconnexions relacionades han estat acreditades per al tractament d'EUCI a nivell RESTREINT UE/EU RESTRINGIT [E0011].

Article 14

El transport d'EUCI per missatgers comercials s'ajustarà a les disposicions pertinents de la Decisió de la Comissió (UE, Euratom) 2019/1962 [E0012] sobre les normes d'aplicació de la gestió de la informació restringida RESTREINT UE/UE i la Decisió de la Comissió (UE, Euratom) 2019/1961 [E0013] sobre les normes d'aplicació de la informació confidencial i SECRETa UE/UE SECRETa.

Article 15

El transport d'informació classificada a mà estarà subjecte a estrictes requisits de seguretat.

RESTREINT UE/UE La informació restringida pot ser portada a mà pel personal beneficiari dins de la Unió, sempre que es compleixin els següents requisits:(a) el sobre o l'embalatge utilitzat és opac i no té indicació de la classificació dels seus continguts;(b) la informació classificada no deixa la possessió del portador;(c) el sobre o l'embalatge no està obert en ruta.

Per a la informació classificada CONFIDENTIEL UE/EU CONFIDENCIAL i SECRET UE/EU SECRET, el transport de mà pel personal beneficiari dins d'un Estat membre es realitza amb antelació entre les entitats emissores i receptores. L'autoritat o instal·lació emissora informa l'autoritat o instal·lació receptora de les dades de l'enviament, inclosa la referència, la classificació, l'hora d'arribada o el nom del transportador. Aquest transport de mà està permès, sempre que es compleixin els següents requisits:(a) el sobre o l'embalatge exterior estigui assegurat i no tingui indicació de la classificació del seu contingut;(c) EUCI no deixi la possessió del portador;(d) el sobre o l'embalatge no estigui obert en ruta;(e) el sobre o l'embalatge es transporti en un maletí o un contenidor homologat de tal mida i pes que pugui ser retingut en tot moment en possessió personal del portador i no es pugui consignar a un portaequipatges;(f) el missatger porti un certificat de missatgeria emès per la seva autoritat de seguretat competent que autoritzi el transportista a portar l'enviament classificat segons s'identifiqui.

Per al transport de mà pel personal beneficiari de la informació classificada CONFIDENTIEL UE/EU CONFIDENCIAL i SECRET UE/EU SECRET d'un Estat membre a un altre, s'aplicaran les següents normes addicionals:(a) el missatger serà responsable de la custòdia segura del material classificat transportat fins que sigui lliurat al destinatari;(b) el missatger haurà estat informat de totes les obligacions de seguretat que s'han de complir durant el transport i haurà signat un reconeixement adequat;(d) les instruccions del missatger s'hauran adjuntat al certificat de missatgeria;(e) el missatger serà retornat a l'emissora NSA o DSA quan finalitzi el viatge o es mantingui disponible pel destinatari per a la supervisió;(g) si les autoritats duaneres no contenen material diferent del que es declara;(h) les autoritats duaneres han de ser instats a complir l'autoritat oficial dels documents d'enviament i dels documents d'autorització portats pel missatger.

El missatger ha de sol·licitar que l'enviament sigui reempaquetat i ha de demanar a les autoritats que duguin a terme la inspecció que tornin a col·locar l'enviament i confirmar per escrit que l'han obert.

El transport a mà pel personal beneficiari de la informació classificada RESTREINT UE/EU RESTRICTED, CONFIDENTIEL UE/EU CONFIDENTIAL i SECRET UE/EU SECRET a un tercer país o a una organització internacional estarà subjecte a les disposicions de l'acord de seguretat de la informació o a l'acord administratiu celebrat entre, respectivament, la Unió o la Comissió i aquest tercer país o organització internacional.

1. El transport d'informació classificada a mà estarà subjecte a estrictes requisits de seguretat.

2. RESTREINT UE/EU La informació restringida pot ser portada a mà pel personal beneficiari dins de la Unió, sempre que es compleixin els següents requisits:(a) el sobre o embalatge utilitzat és opac i no té indicació de la classificació dels seus continguts;(b) la informació classificada no deixa la possessió del portador;(c) el sobre o embalatge no està obert en ruta.

3. Per a la informació classificada CONFIDENTIEL UE/EU CONFIDENCIAL i SECRET UE/EU SECRET, el transport de mà pel personal beneficiari dins d'un Estat membre es realitza prèviament entre les entitats emissores i receptores. L'autoritat o instal·lació emissora informa a l'autoritat o instal·lació receptora de les dades de l'enviament, inclosa la referència, la classificació, l'hora d'arribada o el nom del transportador. Aquest transport de mà està permès, sempre que es compleixin els següents requisits:(a) el sobre o l'embalatge exterior estigui assegurat i no tingui indicació de la classificació del seu contingut;(c) EUCI no deixi la possessió del portador;(d) el sobre o l'embalatge no estigui obert en ruta;(e) el sobre o l'embalatge es transporti en un maletí o un contenidor homologat de tal mida i pes que pugui ser retingut en tot moment en possessió personal del portador;(f) el missatger porti un certificat de missatgeria emès per la seva autoritat de seguretat competent que autoritzi el transportista a portar l'enviament classificat segons s'identifiqui.

4. Per al transport de mà pel personal beneficiari de la informació classificada CONFIDENTIEL UE/EU CONFIDENCIAL i SECRET UE/EU SECRET d'un Estat membre a un altre, s'aplicaran les següents normes addicionals: (a) el missatger serà responsable de la custòdia segura del material classificat transportat fins que sigui lliurat al destinatari; (b) el missatger haurà estat informat de totes les obligacions de seguretat que s'han de complir durant el transport i haurà signat un reconeixement adequat;(d) les instruccions del missatger s'hauran adjuntat al certificat de missatgeria;(e) el missatger serà retornat a l'emissora NSA o DSA quan finalitzi el viatge o es mantingui disponible pel destinatari per a la supervisió;(g) si les autoritats duaneres no contenen material diferent del que es declara;(h) les autoritats duaneres han de ser instats a complir l'autoritat oficial dels documents d'enviament i dels documents d'autorització portats pel missatger.

El transport a mà pel personal beneficiari de la informació classificada RESTREINT UE/EU RESTRICTED, CONFIDENTIEL UE/EU CONFIDENTIAL i SECRET UE/EU SECRET a un tercer país o a una organització internacional estarà subjecte a les disposicions de l'acord de seguretat de la informació o a l'acord administratiu celebrat entre, respectivament, la Unió o la Comissió i aquest tercer país o organització internacional.

Article 16

L'autoritat de concessió garantirà que l'acord de subvenció classificada requereixi que els beneficiaris estableixin plans de contingència empresarial ("BCP") per protegir l'EUCI gestionat en el context de l'ajut classificat en situacions d'emergència, i que posin en marxa mesures preventives i de recuperació en el context de la planificació de continuïtat empresarial per minimitzar l'impacte d'incidències en relació amb la manipulació i l'emmagatzematge d'EUCI. Els beneficiaris confirmaran a l'autoritat de concessió que els seus BCPs estan en vigor.

Article 17

Aquesta Decisió entrarà en vigor el vintè dia després de la seva publicació en el Diari Oficial de la Unió Europea.