Butlletí Oficial de l'Estat
Contingut no disponible en català
EL COMITÉ ADMINISTRATIVO DEL TRIBUNAL DE CUENTAS EUROPEO,
Visto el Tratado de Funcionamiento de la Unión Europea y, en particular su artículo 287,
Vista la Decisión n.o 41/2021 del Tribunal de Cuentas sobre las normas de seguridad para la protección de la información clasificada de la UE (ICUE) (1),
Vista la política de seguridad de la información del Tribunal de Cuentas (actualmente DEC 127/15 FINAL) y la política de clasificación de información (Circular 123/2020) (2),
Considerando que la Decisión n.o 41/2021 se aplica a todos los servicios y en todos los locales del Tribunal de Cuentas;
Considerando que la Decisión n.o 41/2021 establece en el artículo 1, apartado 3, y en el artículo 5, apartado 6, que el Tribunal de Cuentas tratará la información de grado RESTREINT UE/EU RESTRICTED en sus locales y podrá suscribir un Acuerdo de Nivel de Servicio con otra institución de la UE en Luxemburgo para poder manejar y almacenar información de grado CONFIDENTIEL UE/EU CONFIDENTIAL o superior en una zona de acceso restringido de dicha institución;
Considerando que las medidas de seguridad para proteger la información clasificada de la UE (ICUE) a lo largo de su ciclo de vida deben ser acordes, en particular, con su clasificación de seguridad;
Considerando que las medidas de seguridad para proteger la confidencialidad, integridad y disponibilidad de información comunicada por el Tribunal de Cuentas serán adecuadas a la naturaleza y el tipo de la información de que se trate;
Considerando que el artículo 10, apartado 10, de la Decisión n.o 41/2021 dispone que el Comité Administrativo adoptará una decisión delegada por la que se establecen normas de aplicación de la presente Decisión; de conformidad con los artículos 8, apartado 1, y 10, apartado 1, de la Decisión n.o 41/2021 estas regularán cuestiones como el manejo y almacenamiento de ICUE, así como fallos de seguridad;
Considerando que el anexo de la Decisión n.o 41/2021 establece las medidas de seguridad físicas que se aplicarán en las zonas administrativas en las que se maneja y almacena información de grado RESTREINT UE/EU RESTRICTED;
Considerando que las medidas de seguridad adoptadas para aplicar la presente Decisión deben cumplir los principios de seguridad del Tribunal de Cuentas establecidos en el artículo 3 de la Decisión n.o 41/2021;
Considerando que el Tribunal de Cuentas aseguró, mediante la Decisión n.o 41/2021, que sus medidas de seguridad para garantizar un alto nivel de protección de la ICUE son equivalentes a las establecidas por la normativa aplicable en otras instituciones, agencias y organismos de la UE en materia de protección de la ICUE;
Considerando un acuerdo administrativo entre el Tribunal de Cuentas y la Comisión, el Consejo y el SEAE que se celebró y entró en vigor el 27 de enero de 2023.
HA DECIDIDO:
Objeto y ámbito de aplicación
1. La presente Decisión establece las condiciones para el manejo de información clasificada de la UE (ICUE) de grado RESTREINT UE/EU RESTRICTED (3) de conformidad con la Decisión n.o 41/2021.
2. La presente Decisión se aplicará a todos los servicios del Tribunal de Cuentas y en todos sus locales. También se aplicará a sus Salas y Comités, que se incluyen en el término «servicios» a efectos de la presente Decisión.
Criterios de acceso a la información de grado RESTREINT UE/EU RESTRICTED
1. El acceso a la información clasificada de grado RESTREINT UE/EU RESTRICTED podrá concederse después de que:
a) se haya determinado la necesidad de que un particular tenga acceso a determinada información RESTREINT UE/EU RESTRICTED a fin de poder desempeñar una función o cometido profesional para el Tribunal de Cuentas;
b) esa persona haya sido instruida acerca de las normas y los niveles de seguridad pertinentes y de las directrices para la protección de la información RESTREINT UE/EU RESTRICTED; y de que
c) dicha persona haya asumido sus responsabilidades en materia de protección de dicha información.
2. No se asignará a los becarios del Tribunal de Cuentas tareas que requieran su acceso a la información RESTREINT UE/EU RESTRICTED.
3. El acceso a esa información por parte de otras categorías de personal se autorizará o denegará de acuerdo con el cuadro que figura en el anexo.
Originador
Si bien el originador en el sentido del artículo 2 de la Decisión n.o 41/2021 es la institución, agencia u organismo de la Unión, Estado miembro, tercer Estado u organización internacional bajo cuya autoridad se haya producido información clasificada o se haya introducido en las estructuras de la Unión, el redactor de la información RESTREINT UE/EU RESTRICTED no ha de ser necesariamente la misma entidad.
Asignación del grado de clasificación
1. El personal que redacte un documento a partir de información contemplada en el artículo 1, en el contexto del artículo 3, apartado 6, de la Decisión n.o 41/2021 o de otro modo, deberá considerar en toda circunstancia la posibilidad de que ese documento haya de ser clasificado. La clasificación de un documento en la categoría de ICUE implicará una evaluación y una decisión, por parte del originador, que determinen si la revelación del documento a personas no autorizadas podría resultar perjudicial para los intereses de la Unión Europea o de uno o varios Estados miembros. Si los redactores albergan alguna duda sobre la necesidad de que el documento en el que estén trabajando se clasifique como RESTREINT UE/EU RESTRICTED, deberán consultar al gerente principal o al director responsable.
2. Un documento debe clasificarse, como mínimo, en el grado RESTREINT UE/EU RESTRICTED si su revelación no autorizada pudiera, por ejemplo:
a) afectar negativamente a las relaciones diplomáticas;
b) causar una zozobra considerable a particulares;
c) dificultar el mantenimiento de la eficacia operativa o la seguridad del personal desplegado por los Estados miembros u otros contribuyentes;
d) violar el compromiso de mantener la confidencialidad de la información proporcionada por terceros;
e) entorpecer la investigación de algún delito o facilitarlo;
f) perjudicar a la Unión o a los Estados miembros en las negociaciones comerciales o políticas con otras partes;
g) obstaculizar el desarrollo o el funcionamiento efectivos de políticas de la Unión;
h) socavar la adecuada gestión de la Unión y sus misiones en general; o
i) conducir al descubrimiento de información clasificada en un grado superior.
3. Los originadores podrán optar por atribuir un grado de clasificación estándar a determinadas categorías de información que creen de forma habitual. No obstante, se asegurarán de que se atribuye el grado de clasificación apropiado a las informaciones concretas.
Tratamiento de los borradores
1. La información se clasificará tan pronto como se haya producido. Las notas personales, los borradores o los mensajes que contengan información que justifique una clasificación en el grado RESTREINT UE/EU RESTRICTED estarán marcados consiguientemente desde el principio y se producirán y manejarán conforme a lo dispuesto en la presente Decisión.
2. Si el documento final deja de justificar su clasificación en el grado RESTREINT UE/EU RESTRICTED, se procederá a su desclasificación.
Registro del material original
Para permitir el ejercicio del control de originador, de conformidad con el artículo 13, los originadores de documentos RESTREINT UE/EU RESTRICTED deberán, en la medida de lo posible, llevar un registro de las fuentes clasificadas que hayan utilizado para producir documentos clasificados, incluidos los datos de las fuentes originarias de los Estados miembros de la UE, organizaciones internacionales o terceros países. Cuando así proceda, la información clasificada agregada se marcará de una forma que preserve la identificación de los originadores de los materiales originales clasificados que se hayan utilizado.
Clasificación de partes de un documento
1. De conformidad con el artículo 3, apartado 1, de la Decisión n.o 41/2021, el grado global de clasificación de un documento deberá ser al menos tan alto como el de su componente con mayor grado de clasificación. Cuando se recopile información procedente de diversas fuentes, se revisará el documento agregado final para determinar su grado global de clasificación de seguridad, al ser posible que requiera un grado de clasificación superior al de sus componentes.
2. Los documentos que contengan partes clasificadas y partes no clasificadas se estructurarán y marcarán de forma que los componentes con distintos grados de clasificación y/o sensibilidad puedan identificarse fácilmente y separarse en caso necesario. De esta forma, cada una de las partes podrá manejarse adecuadamente cuando se separe de los demás componentes.
Marca de clasificación completa
1. La información cuya clasificación esté justificada se marcará y manejará como tal, con independencia de su forma física. El grado de clasificación se comunicará claramente a los destinatarios, bien mediante una marca de clasificación, si la información se facilita por escrito, ya sea en papel, en soportes de almacenamiento extraíbles o en un sistema de información y comunicación (SIC), bien mediante una notificación, si la información se presenta oralmente, por ejemplo, en una conversación o una presentación. El material clasificado estará marcado físicamente para permitir la fácil identificación de su clasificación de seguridad.
2. En los documentos, se escribirá la marca de clasificación completa RESTREINT UE/EU RESTRICTED en letras mayúsculas, en francés y en inglés (primero en francés), de conformidad con el apartado 3. Esta marca no se traducirá a otras lenguas.
3. La marca de clasificación RESTREINT UE/EU RESTRICTED se dispondrá de la forma siguiente:
a) centrada en la parte superior e inferior de cada página del documento;
b) la marca de clasificación completa aparecerá en una sola línea, sin espacios a cada lado de la barra oblicua;
c) en mayúsculas de color negro, con el tipo y tamaño de letra Times New Roman 16, en negrita y rodeada de un reborde por cada lado.
4. Al crear un documento RESTREINT UE/EU RESTRICTED:
a) se marcará claramente cada página con el grado de clasificación;
b) se numerarán todas las páginas;
c) el documento deberá llevar un número de referencia y una indicación del asunto, que en sí misma no constituirá información clasificada, salvo si se marca como tal;
d) todos los anexos y documentos adjuntos se enumerarán, siempre que sea posible, en la primera página; y
e) se indicará en el documento la fecha de su creación.
Marca de clasificación abreviada R-UE/EU-R
Podrá utilizarse la abreviatura «R-UE/EU-R» para indicar el grado de clasificación de partes concretas de un documento RESTREINT UE/EU RESTRICTED o cuando no pueda insertarse la marca de clasificación completa, por ejemplo, en un pequeño soporte de almacenamiento extraíble. Podrá también utilizarse en el cuerpo del texto cuando el uso repetido de la marca de clasificación completa resulte engorroso. La abreviatura no se utilizará en lugar de las marcas de clasificación completas que han de figurar en el encabezamiento y el pie de página del documento.
Otros indicadores de seguridad
1. Los documentos RESTREINT UE/EU RESTRICTED podrán llevar otras marcas o «indicadores de seguridad» que especifiquen, por ejemplo, el ámbito al que pertenece el documento o que indiquen una distribución determinada en función de la «necesidad de conocer». Ejemplo:
|
DIVULGABLE A LIECHTENSTEIN |
2. Los documentos RESTREINT UE/EU RESTRICTED podrán llevar una advertencia de seguridad que ofrezca instrucciones específicas sobre la forma de manejar y tratar los documentos.
3. Siempre que sea posible, toda indicación referente a la desclasificación se colocará en la primera página del documento en el momento de su creación. Por ejemplo, podrá utilizarse el marcado siguiente:
|
RESTREINT UE/EU RESTRICTED hasta el [dd.mm.aaaa] |
Tratamiento electrónico
1. Los documentos RESTREINT UE/EU RESTRICTED se crearán por medios electrónicos siempre que estos estén disponibles.
2. El personal del Tribunal de Cuentas utilizará SIC acreditados para generar información de grado RESTREINT UE/EU RESTRICTED (véase el artículo 6 de la Decisión n.o 41/2021). En caso de duda acerca de los SIC que pueden utilizarse, el personal deberá consultar al responsable de seguridad de la información. Previa consulta a dicho responsable, podrán aplicarse procedimientos específicos en caso de emergencia o en presencia de configuraciones técnicas específicas.
3. Los documentos RESTREINT UE/EU RESTRICTED, incluidos los borradores, según dispone el artículo 5, no se enviarán por correo electrónico ordinario no cifrado, ni se imprimirán o escanearán en impresoras o escáneres estándar, ni se manejarán en los dispositivos personales de los miembros del personal. Para imprimir documentos RESTREINT UE/EU RESTRICTED, solo se utilizarán impresoras o fotocopiadoras conectadas a ordenadores independientes o a un sistema acreditado.
Distribución
El remitente de los documentos RESTREINT UE/EU RESTRICTED decidirá a quién debe distribuirse la información, en función de su «necesidad de conocer». En caso necesario, se elaborará una lista de distribución para aplicar más rigurosamente el principio de la «necesidad de conocer».
Control del originador
1. El originador deberá tener «control de originador» sobre la información RESTREINT UE/EU RESTRICTED que haya creado. Se recabará el consentimiento previo por escrito del originador antes de que la información pueda ser:
a) desclasificada;
b) utilizada con fines distintos de los determinados por el originador;
c) divulgada a un tercer país o a una organización internacional;
d) revelada a una parte externa al Tribunal de Cuentas pero interna a la UE; o
e) revelada a un contratista o a un contratista potencial ubicado en un tercer país.
2. Los poseedores de la información RESTREINT UE/EU RESTRICTED han recibido acceso a la información clasificada para poder desempeñar sus funciones. Son responsables de su correcto manejo, almacenamiento y protección con arreglo a la Decisión n.o 41/2021. A diferencia de los originadores de información clasificada, los poseedores no estarán autorizados para adoptar decisiones sobre la desclasificación o la subsiguiente divulgación de información RESTREINT UE/EU RESTRICTED a terceros países u organizaciones internacionales.
3. Si no es posible identificar al originador de alguna información RESTREINT UE/EU RESTRICTED, el servicio del Tribunal de Cuentas que posea esa información clasificada ejercerá el control de originador. Si el titular de la información considera necesario divulgar información RESTREINT UE/EU RESTRICTED a un tercer país o a una organización internacional, el Tribunal de Cuentas consultará a una de las Partes de un acuerdo de seguridad de la información celebrado con ese mismo tercer país u organización internacional.
SIC adecuados para el manejo de la información RESTREINT UE/EU RESTRICTED
La información RESTREINT UE/EU RESTRICTED se manejará y transmitirá por medios electrónicos, siempre que estos estén disponibles. De conformidad con el artículo 6 de la Decisión n.o 41/2021, solo se emplearán SIC y equipos que hayan sido autorizados por otra institución, agencia u organismo de la UE o por el Tribunal de Cuentas.
Medidas específicas aplicables a la información RESTREINT UE/EU RESTRICTED en soportes de almacenamiento extraíbles
1. El uso de soportes de almacenamiento extraíbles será objeto de control y dará lugar a la debida rendición de cuentas. Solo se utilizarán soportes de almacenamiento extraíbles proporcionados por el Tribunal de Cuentas o por otra institución, agencia u organismo de la UE, aprobados por el responsable de seguridad de la información del Tribunal de Cuentas y cifrados con un producto aprobado por dicho responsable. Para la transferencia de información clasificada no se utilizarán soportes de almacenamiento extraíbles personales ni soportes ofrecidos gratuitamente en conferencias, seminarios, etc. En la medida de lo posible, se utilizarán soportes de almacenamiento extraíbles protegidos por la tecnología Tempest, conforme a las directrices del responsable de seguridad de la información.
2. Cuando un documento clasificado se maneje o se almacene electrónicamente en soportes de almacenamiento extraíbles, como llaves USB, discos duros externos USB, CD, DVD o tarjetas de memoria (incluidas tarjetas SSD (4)), la marca de clasificación deberá ser claramente visible en la propia información, así como en el nombre del archivo y en el soporte de almacenamiento extraíble.
3. El personal deberá tener en cuenta que, cuando se almacenen grandes volúmenes de información clasificada en soportes de almacenamiento extraíbles, el dispositivo podrá requerir un grado de clasificación más elevado.
4. Solo los SIC que hayan sido debidamente acreditados podrán utilizarse para transferir información RESTREINT UE/EU RESTRICTED hacia o desde soportes de almacenamiento extraíbles.
5. Cuando se descargue información RESTREINT UE/EU RESTRICTED a soportes de almacenamiento extraíbles, se tomarán especiales precauciones para asegurar que dichos soportes no contengan virus o programas maliciosos antes de la transferencia de los datos.
6. Cuando así proceda, los soportes de almacenamiento extraíbles se manejarán con arreglo a los procedimientos operativos de seguridad correspondientes al sistema de cifrado utilizado.
7. Los documentos en soportes de almacenamiento extraíbles que ya no se necesiten o que hayan sido transferidos a un SIC adecuado se suprimirán o eliminarán de forma segura utilizando productos o métodos aprobados. Salvo si se almacenan en muebles de oficina debidamente cerrados con llave, los soportes de almacenamiento extraíbles se destruirán cuando dejen de ser necesarios. Las operaciones de destrucción o eliminación se efectuarán con métodos que se ajusten a las normas de seguridad del Tribunal de Cuentas. Se mantendrá un inventario de los soportes extraíbles, cuya destrucción deberá registrarse.
Manejo y almacenamiento de la información RESTREINT UE/EU RESTRICTED
1. De conformidad con los artículos 5, apartado 8, y 6, apartado 9, de la Decisión n.o 41/2021, la información RESTREINT UE/EU RESTRICTED podrá manejarse en una zona administrativa (5) o en una zona de acceso restringido en la Comisión (6) para cuyo uso el Tribunal de Cuentas ha celebrado un Acuerdo de Nivel de Servicio, según se indica a continuación:
|
— |
cuando se disponga a manejar información RESTREINT UE/EU RESTRICTED, el personal cerrará la puerta del despacho; |
|
— |
si se presenta alguna visita, el personal deberá retirar u ocultar la información RESTREINT UE/EU RESTRICTED; |
|
— |
cuando el despacho esté vacío, el personal no deberá dejar información RESTREINT UE/EU RESTRICTED en ningún lugar visible; |
|
— |
las pantallas donde aparezca información RESTREINT UE/EU RESTRICTED se apartarán permanentemente de las ventanas y las puertas para evitar posibles miradas indiscretas. |
2. La información RESTREINT UE/EU RESTRICTED podrá manejarse temporalmente fuera de una zona de acceso restringido o de una zona administrativa siempre que el poseedor se haya comprometido a cumplir las medidas compensatorias destinadas a preservarla del acceso de personas no autorizadas. Dichas medidas compensatorias incluirán, como mínimo, las siguientes:
|
— |
la información RESTREINT UE/EU RESTRICTED no se leerá en lugares públicos; |
|
— |
la ICUE permanecerá en todo momento bajo el control personal de su poseedor; |
|
— |
los documentos se guardarán en muebles de oficina debidamente cerrados con llave cuando no estén siendo leídos o comentados; |
|
— |
las puertas de la sala se cerrarán durante la lectura o el debate del documento; |
|
— |
el contenido del documento no se tratará por teléfono, en una línea no segura, ni en un correo electrónico no cifrado; |
|
— |
el documento solo se podrá fotocopiar o escanear en aparatos independientes o acreditados; |
|
— |
el documento solo se manejará y conservará temporalmente fuera de las zonas administrativas y de las zonas de acceso restringido durante el tiempo mínimo necesario; |
|
— |
el poseedor no desechará el documento clasificado, sino que lo devolverá para su almacenamiento en una zona administrativa o de acceso restringido, o se encargará de su destrucción en una trituradora autorizada (7). |
3. Las copias impresas de información RESTREINT UE/EU RESTRICTED se guardarán en muebles de oficina cerrados con llave en una zona administrativa o en una zona de acceso restringido. Podrán almacenarse temporalmente fuera de una zona de acceso restringido o de una zona administrativa siempre que el poseedor se haya comprometido a cumplir las medidas compensatorias.
4. Puede solicitarse asesoramiento adicional al responsable de seguridad de la información.
5. Se informará lo antes posible al responsable de seguridad de la información de todo incidente de seguridad, supuesto o confirmado, que afecte al documento.
Copia y traducción de información RESTREINT UE/EU RESTRICTED
1. La información RESTREINT UE/EU RESTRICTED podrá copiarse o traducirse a instrucción de su poseedor, siempre que el originador no haya impuesto ninguna reserva al respecto. No obstante, no se realizarán más copias de las estrictamente necesarias.
2. Cuando solo se reproduzca parte de un documento clasificado, se aplicarán las mismas condiciones que para la copia del documento íntegro. Los extractos se clasificarán también como RESTREINT UE/EU RESTRICTED, a menos que hayan sido marcados como no clasificados por el originador.
3. Las medidas de seguridad aplicables a la información original se aplicarán también a sus copias y traducciones.
Principios generales aplicables al transporte de información RESTREINT UE/EU RESTRICTED
1. Siempre que sea posible, la información RESTREINT UE/EU RESTRICTED que deba salir de las de zonas de acceso restringido o de las zonas administrativas se enviará por vía electrónica a través de medios debidamente acreditados y/o protegidos por productos criptográficos aprobados.
2. En función de los medios disponibles o de las circunstancias particulares, la información RESTREINT UE/EU RESTRICTED podrá transportarse físicamente en mano, en documentos impresos en papel o en soportes de almacenamiento extraíbles. Para la transmisión de información RESTREINT UE/EU RESTRICTED, el uso de soportes de almacenamiento extraíbles tendrá preferencia sobre el envío de documentos impresos.
3. Solo podrán utilizarse soportes de almacenamiento extraíbles cifrados mediante un producto aprobado por el responsable de seguridad de la información del Tribunal de Cuentas. La información RESTREINT UE/EU RESTRICTED contenida en soportes de almacenamiento extraíbles que no estén protegidos por un producto de cifrado aprobado por el responsable de seguridad de la información se manejará de la misma manera que la información impresa en papel.
4. Un envío podrá contener más de un elemento de información RESTREINT UE/EU RESTRICTED, siempre que se respete el principio de la «necesidad de conocer».
5. El envoltorio utilizado deberá garantizar que el contenido está oculto. La información RESTREINT UE/EU RESTRICTED se transportará en envoltorios opacos, como un sobre, una carpeta opaca o un maletín. En el exterior del envoltorio no figurará ninguna indicación sobre la naturaleza o el grado de clasificación de su contenido. Si se utiliza, la capa interior del envoltorio llevará la indicación RESTREINT UE/EU RESTRICTED. En ambas capas se indicará el nombre del destinatario, su cargo y su dirección, así como una dirección de retorno en caso de que no sea posible efectuar la entrega.
6. Todo incidente de seguridad que afecte a información RESTREINT UE/EU RESTRICTED que esté siendo transportada por miembros del personal o mensajeros se notificará para su subsiguiente investigación al Director de Recursos humanos, finanzas y servicios generales a través del responsable de seguridad de la información.
Transporte manual de soportes de almacenamiento extraíbles
1. Los soportes de almacenamiento extraíbles que se utilicen para el transporte de información RESTREINT UE/EU RESTRICTED irán acompañados de una nota de envío en la que se detallarán los soportes de almacenamiento extraíbles que contienen la información clasificada, así como todos los ficheros que albergan, de forma que el destinatario pueda realizar las comprobaciones necesarias.
2. Solo se almacenarán en los citados soportes los documentos que hayan de entregarse. Por ejemplo, toda la información clasificada contenida en una misma llave USB deberá tener un único destinatario. El remitente deberá tener en cuenta que el almacenamiento de un gran volumen de información clasificada en esos dispositivos podrá justificar la atribución de un grado de clasificación más elevado al dispositivo en su conjunto.
3. Para transportar información RESTREINT UE/EU RESTRICTED solo se utilizarán soportes de almacenamiento extraíbles que lleven la marca de clasificación adecuada.
Transporte de documentos RESTREINT UE/EU RESTRICTED dentro de los edificios del Tribunal de Cuentas
1. El personal podrá transportar documentos RESTREINT UE/EU RESTRICTED dentro de un edificio del Tribunal de Cuentas o entre instituciones, agencias u organismos de la Unión, pero esos documentos no podrán quedar desatendidos por su portador ni ser leídos en público.
2. Los documentos RESTREINT UE/EU RESTRICTED podrán enviarse por correo interno a otras oficinas del Tribunal de Cuentas en un único sobre ordinario opaco, pero sin indicación exterior alguna de que el contenido está clasificado.
Transporte de documentos RESTREINT UE/EU RESTRICTED dentro de la Unión
1. La información RESTREINT UE/EU RESTRICTED podrá ser transportada por personal o mensajeros del Tribunal de Cuentas o de cualquier otra institución, agencia u organismo de la UE en cualquier lugar de la Unión, siempre que se cumplan las instrucciones siguientes:
a) que se utilice un sobre o un envoltorio opaco en cuya parte exterior no figure ninguna indicación sobre la naturaleza o el grado de clasificación de su contenido;
b) que la información RESTREINT UE/EU RESTRICTED no quede desatendida en ningún momento por el portador; y que
c) el sobre o el envoltorio no se abran en tránsito y que la información no se lea en lugares públicos.
2. El personal que desee enviar información RESTREINT UE/EU RESTRICTED a otros lugares de la Unión podrá disponer que se transporte por uno de los medios siguientes:
— servicios postales nacionales que garanticen un rastreo del envío o determinados servicios de mensajería comercial que garanticen el transporte personal en mano, siempre que cumplan los requisitos establecidos en el artículo 23 de la presente Decisión, o
— valija militar, administrativa o diplomática, en coordinación con el personal de la Oficina de Registro.
Transporte de información RESTREINT UE/EU RESTRICTED hacia o desde el territorio de un tercer país
1. La información clasificada como RESTREINT UE/EU RESTRICTED podrá ser transportada en mano por el personal entre el territorio de la Unión y el de un tercer país.
2. El personal de la Oficina de Registro podrá organizar alguna de las modalidades de transporte siguientes:
— transporte por servicios de correo postal que garanticen el rastreo del envío o por servicios de mensajería comercial que garanticen el transporte en mano; o
— transporte por valija militar o diplomática.
3. Cuando transporte en mano documentos impresos en papel o soportes de almacenamiento extraíbles clasificados como RESTREINT UE/EU RESTRICTED, el personal deberá cumplir todas las medidas adicionales siguientes:
— Al desplazarse en transporte público, la información clasificada se colocará en un maletín o bolsa que permanecerá bajo la custodia personal del portador y no podrá dejarse en la bodega de equipajes.
— La información RESTREINT UE/EU RESTRICTED se transportará en un envoltorio doble. La capa interior del envoltorio deberá llevar un sello oficial que indique que se trata de un envío oficial que no ha de someterse a los controles de seguridad.
— El portador llevará un certificado de correo expedido por la Oficina de Registro que certifique que está autorizado a transportar el envío RESTREINT UE/EU RESTRICTED.
Transporte a cargo de mensajeros comerciales
1. A efectos de lo dispuesto en la presente Decisión, por «mensajeros comerciales» se entienden los servicios postales nacionales y las empresas de mensajería comercial que ofrecen un servicio consistente en la entrega de información a cambio de una tarifa y que se lleva a cabo, bien en forma de transporte personal en mano, bien mediante un sistema de rastreo.
2. Los servicios de mensajería comercial pueden recurrir a los servicios de un subcontratista. No obstante, la responsabilidad del cumplimiento de la presente Decisión seguirá correspondiendo a la empresa de mensajería.
3. Si el destinatario previsto se halla fuera de la UE, se utilizará un envoltorio de doble capa. Al preparar envíos clasificados, el remitente deberá tener en cuenta que los servicios de mensajería comercial solo entregarán los envíos RESTREINT UE/EU RESTRICTED al destinatario previsto, a su sustituto debidamente autorizado, al controlador del registro o su sustituto debidamente autorizado, o a un recepcionista. A fin de mitigar el riesgo de que el envío no llegue al destinatario previsto, la capa exterior y, cuando corresponda, la capa interior del envoltorio llevarán una dirección de retorno.
4. No se utilizarán para la información RESTREINT UE/EU RESTRICTED los servicios ofrecidos por mensajeros comerciales consistentes en la transmisión electrónica de documentos de entrega certificada.
Otras condiciones de manejo específicas
1. Se cumplirán todas las condiciones de transporte que se hayan establecido en un acuerdo de seguridad de la información o en un arreglo administrativo. En caso de duda, el personal consultará al responsable de seguridad de la información o a la Oficina de Registro.
2. El requisito de doble envoltorio podrá ser inaplicado en el caso de la información clasificada que esté protegida por productos criptográficos aprobados. No obstante, a efectos de expedición, y debido también al hecho de que el soporte de almacenamiento extraíble lleva una marca de clasificación de seguridad explícita, el soporte se transportará al menos en un sobre ordinario, pero podrá requerir medidas de protección física adicionales, como el uso de sobres recubiertos en el interior con plástico de burbujas.
Preparación de una reunión RESTREINT UE/EU RESTRICTED
1. Las reuniones en las que esté previsto discutir información RESTREINT UE/EU RESTRICTED se celebrarán solo en salas de reuniones que hayan sido acreditadas al nivel adecuado o superior. Cuando esas salas no estén disponibles, el personal consultará al responsable de seguridad de la información.
2. Como regla general, los órdenes del día no deben clasificarse. El hecho de que el orden del día de alguna reunión haga referencia a documentos clasificados no implica que el orden del día deba clasificarse automáticamente. Los puntos del orden del día se formularán con una redacción que evite todo riesgo para la protección de los intereses de la Unión o de uno o más Estados miembros.
3. Si es preciso adjuntar al orden del día ficheros electrónicos que contengan información RESTREINT UE/EU RESTRICTED, será obligatorio protegerlos con productos criptográficos aprobados por el responsable de seguridad de la información del Tribunal de Cuentas.
4. Los organizadores de las reuniones habrán de recordar a los participantes que las observaciones relativas a puntos RESTREINT UE/EU RESTRICTED del orden del día no deben enviarse por correo electrónico ordinario no cifrado, ni por otros medios que no hayan sido debidamente acreditados con arreglo al artículo 11 de la presente Decisión.
5. Los organizadores de las reuniones tratarán de agrupar de manera consecutiva en el orden del día los puntos RESTREINT UE/EU RESTRICTED para facilitar el fluido desenvolvimiento de la reunión. Solo podrán estar presentes en los debates de los puntos clasificados las personas con necesidad de conocerlos.
6. En la propia invitación se prevendrá a los participantes de que en la reunión se debatirán temas clasificados, lo que dará lugar a la aplicación de las medidas de seguridad correspondientes.
7. En la invitación o en una nota en el propio orden del día se recordará a los participantes que durante el debate de los puntos RESTREINT UE/EU RESTRICTED deberán desconectar sus dispositivos electrónicos portátiles.
8. Antes de la reunión, los organizadores elaborarán una lista completa de los participantes externos.
Equipo electrónico en las salas de reuniones RESTREINT UE/EU RESTRICTED
1. Cuando se transmita información EU RESTRICTED UE/EU RESTRICTED, por ejemplo, durante una presentación o videoconferencia, solo podrán utilizarse sistemas informáticos acreditados con arreglo al artículo 11 de la presente Decisión.
2. El presidente se asegurará de que se hayan desconectado los dispositivos electrónicos portátiles no autorizados.
Procedimientos que han de seguirse durante las reuniones RESTREINT UE/EU RESTRICTED
1. Al inicio del debate sobre temas clasificados, el presidente anunciará a los asistentes a la reunión que se pasa a «modo clasificado». Se cerrarán las puertas y las persianas.
2. Solo se entregará a los participantes y a los intérpretes el número necesario de documentos, según corresponda, al inicio del debate.
Los documentos RESTREINT UE/EU RESTRICTED no se dejarán desatendidos durante las pausas de la reunión.
3. Al término de la reunión, se recordará a los participantes y a los intérpretes que no dejen desatendidos en la sala los documentos clasificados o las notas clasificadas que hayan podido tomar. Las notas o los documentos clasificados que no recojan los participantes al final de la reunión serán recogidos por los organizadores y triturados en las trituradoras apropiadas.
4. Durante la reunión, se anotará la lista de participantes y se realizará una sinopsis de la información clasificada facilitada a los Estados miembros y comunicada verbalmente a terceros países u organizaciones internacionales para su registro en el resultado de los trabajos.
Intérpretes y traductores
Solo los intérpretes y traductores que estén sujetos al Estatuto de los funcionarios o al régimen aplicable a otros agentes de la Unión Europea o que tengan un vínculo contractual con el Tribunal de Cuentas tendrán acceso a la información RESTREINT UE/EU RESTRICTED.
Consentimiento del originador
Si el Tribunal de Cuentas no es la entidad originadora de la información clasificada que desea divulgar o poner en común, o del material original que esta pueda contener, el servicio del Tribunal de Cuentas que posea esa información clasificada deberá recabar el consentimiento escrito del originador para divulgarla. Si no se puede identificar al originador, el servicio del Tribunal de Cuentas que posea esa información clasificada ejercerá el control de originador.
Puesta en común de información RESTREINT UE/EU RESTRICTED con otras entidades de la Unión
1. La información RESTREINT UE/EU RESTRICTED solo se pondrá en común con otra institución, agencia, organismo u oficina de la Unión si el destinatario tiene necesidad de conocerla y si dicha entidad tiene el correspondiente arreglo jurídico con el Tribunal de Cuentas.
2. Dentro del Tribunal de Cuentas, la Oficina de Registro establecida en la Secretaría del Tribunal será, por norma general, el principal punto de entrada y salida de la información clasificada de grado RESTREINT UE/EU RESTRICTED que el Tribunal de Cuentas intercambie con otras instituciones, agencias, organismos y oficinas de la Unión. No obstante, la información RESTREINT UE/EU RESTRICTED podrá comunicarse directamente a los destinatarios previstos tras informar al responsable de seguridad de la información del Tribunal de Cuentas y a la Oficina de Registro.
Intercambio de información RESTREINT UE/EU RESTRICTED con los Estados miembros
1. La información RESTREINT UE/EU RESTRICTED podrá ponerse en común con los Estados miembros si el destinatario tiene necesidad de conocerla.
2. La información clasificada de los Estados miembros que lleve una marca de clasificación nacional (8) equivalente y que haya sido facilitada al Tribunal de Cuentas recibirá el mismo grado de protección que la información RESTREINT UE/EU RESTRICTED.
Intercambio de información RESTREINT UE/EU RESTRICTED con terceros países y organizaciones internacionales
1. La información RESTREINT UE/EU RESTRICTED solo se divulgará a un tercer país o a una organización internacional si el destinatario tiene necesidad de conocerla y el país u organización internacional dispone de un marco jurídico o administrativo apropiado, como un acuerdo de seguridad de la información o un arreglo administrativo con el Tribunal de Cuentas. Las disposiciones de dichos acuerdos o arreglos prevalecerán sobre las de la presente Decisión.
2. Por regla general, la Oficina de Registro de la Secretaría General del Tribunal de Cuentas actuará como punto principal de entrada y de salida de toda la información clasificada RESTREINT UE/EU RESTRICTED intercambiada entre el Tribunal de Cuentas y terceros países y organizaciones internacionales.
3. Para garantizar su rastreabilidad, la información RESTREINT UE/EU RESTRICTED será registrada por la Oficina de Registro:
— cuando llegue a una entidad organizativa o salga de ella; y
— cuando llegue a un SIC o salga de él.
4. Ese registro podrá efectuarse en papel o en libros de registro electrónicos.
5. Los procedimientos de registro de la información clasificada manejada en un SIC acreditado podrán llevarse a cabo mediante los procesos internos del propio SIC. En ese caso, el SIC incluirá medidas para garantizar la integridad de los libros de registro.
6. La información clasificada recibida de terceros países o de organizaciones internacionales recibirá un grado de protección equivalente al de la ICUE que lleve la marca de clasificación equivalente, según se establezca en el acuerdo de seguridad de la información o en el arreglo administrativo correspondiente.
Divulgación ad hoc con carácter excepcional de información RESTREINT UE/EU RESTRICTED
1. Cuando el Tribunal de Cuentas o alguno de sus servicios determine que existe una necesidad excepcional de divulgar información RESTREINT UE/EU RESTRICTED a un tercer país, una organización internacional o una entidad de la UE, pero no exista ningún acuerdo de seguridad de la información o arreglo administrativo, se seguirá el procedimiento de divulgación ad hoc con carácter excepcional.
2. Los servicios del Tribunal de Cuentas se pondrán en contacto con el responsable de seguridad de la información y el originador. El Tribunal de Cuentas consultará a una de las Partes de un acuerdo de seguridad de la información celebrado con esa misma entidad de la UE, tercer país u organización internacional.
3. Después de esta consulta, los Miembros del Tribunal de Cuentas, a propuesta del Secretario General, podrán autorizar la divulgación de dicha información.
Desclasificación
1. La información solo permanecerá clasificada mientras requiera protección. La desclasificación significará que la información dejará de considerarse clasificada desde todo punto de vista. Al producir la información, el originador indicará, siempre que sea posible, si la ICUE puede desclasificarse en una fecha determinada o tras un acontecimiento concreto. De otra forma, el originador revisará periódicamente la información RESTREINT UE/EU RESTRICTED para determinar si su clasificación sigue siendo apropiada.
2. La información clasificada RESTREINT UE/EU RESTRICTED que se haya originado en el Tribunal de Cuentas se desclasificará automáticamente al término de treinta años, de conformidad con el Reglamento (CEE, Euratom) n.o 354/83 (9), modificado por el Reglamento (CE, Euratom) n.o 1700/2003 (10) del Consejo, y el Reglamento (UE) 2015/496 (11) del Consejo.
3. Los documentos del Tribunal de Cuentas también podrán desclasificarse con carácter ad hoc, por ejemplo, a raíz de una solicitud de acceso público.
Responsabilidad de la desclasificación
1. La información RESTREINT UE/EU RESTRICTED no será desclasificada sin el permiso de su originador.
2. El servicio del Tribunal de Cuentas que cree un documento clasificado será responsable de decidir si puede desclasificarse. Dentro del Tribunal de Cuentas, todas las solicitudes de desclasificación serán sometidas a la consulta del gerente principal o director del servicio originario, o del jefe de tarea. Si el servicio ha compilado información clasificada procedente de diversas fuentes, deberá recabar, en primer lugar, el consentimiento de las otras partes que hayan facilitado material original, incluidos los Estados miembros, otros organismos de la UE, terceros países u organizaciones internacionales.
3. Cuando el servicio originario del Tribunal de Cuentas haya dejado de existir y sus responsabilidades hayan sido asumidas por otro servicio, será este último el que adopte la decisión sobre la desclasificación. Cuando el servicio originario haya dejado de existir y sus responsabilidades no hayan sido asumidas por otro servicio, la decisión sobre la desclasificación será adoptada conjuntamente por los directores del Tribunal de Cuentas.
Información sensible no clasificada
Cuando la revisión de un documento desemboque en una decisión de desclasificación, deberá considerarse si el documento debe llevar una marca de distribución de información sensible no clasificada conforme al apartado 16 de la política de clasificación de información del Tribunal de Cuentas y al apartado 4 de las directrices sobre clasificación y manejo de información clasificada no perteneciente a la UE (12).
Indicación de que un documento ha sido desclasificado
1. La marca de clasificación original en la parte superior e inferior de cada página deberá tacharse de forma visible (no suprimirse) mediante la función «tachado», en el caso de los formatos electrónicos, o de forma manual, en los documentos impresos.
2. La primera página (cubierta) deberá llevar un sello que indique que el documento ha sido desclasificado y completarse con los datos de la autoridad responsable de la desclasificación y la fecha correspondiente.
3. Se informará de la desclasificación a los destinatarios originales de la información RESTREINT UE/EU RESTRICTED. Los destinatarios iniciales serán responsables de informar a los destinatarios subsiguientes a quienes hayan enviado la información original RESTREINT UE/EU RESTRICTED o puesto en copia de su envío.
4. Se informará al servicio de archivos del Tribunal de Cuentas de cuantas decisiones de desclasificación se adopten.
5. Todas las traducciones de información clasificada estarán sujetas a los mismos procedimientos de desclasificación que la versión lingüística original.
Desclasificación parcial de información RESTREINT UE/EU RESTRICTED
1. Será también posible una desclasificación parcial (que afecte, por ejemplo, a los anexos o determinados apartados del documento). El procedimiento será idéntico al de desclasificación de un documento íntegro.
2. Tras la desclasificación parcial («saneamiento») de la información RESTREINT UE/EU RESTRICTED, se producirá un extracto desclasificado.
3. Las partes que permanezcan clasificadas se sustituirán por la inscripción:
|
PARTE QUE NO DEBE DESCLASIFICARSE |
bien en el cuerpo del propio texto, si la parte que permanece clasificada forma parte de un apartado, bien como apartado, si la parte que permanece clasificada ocupa un apartado específico o más de un apartado.
4. Cuando un anexo completo no pueda desclasificarse y, por lo tanto, no figure en el extracto, se hará una mención específica de esa circunstancia en el texto.
Destrucción y eliminación rutinarias de información RESTREINT UE/EU RESTRICTED
1. El Tribunal de Cuentas no acumulará grandes volúmenes de información clasificada.
2. Los servicios originarios revisarán periódicamente, a intervalos cortos, pequeñas cantidades de información para su destrucción o eliminación. Se llevará a cabo una revisión a intervalos regulares tanto de la información almacenada en papel como de la almacenada en SIC.
3. El personal destruirá o eliminará de forma segura todos los documentos RESTREINT UE/EU RESTRICTED que hayan dejado de ser necesarios, sin menoscabo de los requisitos de archivo aplicables al documento original.
4. El personal no estará obligado a informar al originador de la destrucción o eliminación de copias de documentos RESTREINT UE/EU RESTRICTED.
5. Los borradores que contengan información clasificada serán sometidos a los mismos métodos de eliminación que los documentos clasificados finalizados.
6. Para la destrucción de los documentos RESTREINT UE/EU RESTRICTED solo se utilizarán trituradoras aprobadas. Las trituradoras con el grado de seguridad 4 de la norma DIN 32757 y el grado de seguridad 5 de la norma DIN 66399 se consideran adecuadas para la destrucción de documentos RESTREINT UE/EU RESTRICTED.
7. Los residuos de las trituradoras aprobadas podrán eliminarse como residuos de oficina normales.
8. Todos los soportes y dispositivos que contengan información RESTREINT UE/EU RESTRICTED serán adecuadamente saneados cuando lleguen al final de su vida útil. Los datos electrónicos se destruirán o borrarán de los recursos informáticos y los soportes de almacenamiento asociados (incluidas las copias de seguridad) de una forma que ofrezca garantías suficientes de que la información no puede recuperarse. El saneamiento suprimirá los datos, así como todas las etiquetas, marcas y registros de actividad, del dispositivo de almacenamiento.
9. Los soportes de almacenamiento informático se entregarán al responsable de seguridad de la información para su destrucción y eliminación.
Evacuación y destrucción de información RESTREINT UE/EU RESTRICTED en caso de emergencia
1. El Director de Recursos humanos, finanzas y servicios generales desarrollará, aprobará y, en caso necesario, activará los planes de evacuación y destrucción de emergencia para proteger la información RESTREINT UE/EU RESTRICTED que presente un riesgo significativo de caer en manos no autorizadas durante una crisis. Por orden de prioridad y en función de la naturaleza de la emergencia, se barajarán las opciones siguientes:
1) trasladar la ICUE a otro lugar seguro, a ser posible una zona administrativa o la Oficina de Registro dentro de los locales del Tribunal de Cuentas;
2) evacuar la ICUE a otro lugar seguro, a ser posible una zona administrativa o de acceso restringido en otro edificio y, cuando sea posible, a la zona de acceso restringido de la Comisión, para cuyo uso el Tribunal de Cuentas ha suscrito un Acuerdo de Nivel de Servicio;
3) destruir la ICUE, utilizando, en la medida de lo posible, los medios de destrucción aprobados.
2. Cuando se hayan activado planes de emergencia, se dará prioridad al traslado o la destrucción de la información de grados más elevados.
3. A su vez, los detalles operativos de los planes de evacuación y destrucción de emergencia se clasificarán como RESTREINT UE/EU RESTRICTED.
Archivo
1. Las decisiones sobre la necesidad de archivar, en qué momento, y las medidas prácticas correspondientes se adoptarán de conformidad con la política del Tribunal de Cuentas en materia de seguridad de la información, clasificación de información y archivo.
2. Los documentos RESTREINT UE/EU RESTRICTED no se enviarán a los Archivos Históricos de la Unión Europea en Florencia.
Transparencia
La presente Decisión será puesta en conocimiento del personal del Tribunal de Cuentas y de todas aquellas personas a las que se aplique, y se publicará en el Diario Oficial de la Unión Europea.
Entrada en vigor
Tras su adopción por parte del Comité Administrativo, la presente Decisión entrará en vigor al día siguiente de su publicación en el Diario Oficial de la Unión Europea.
Hecho en Luxemburgo, el 1 de marzo de 2023.
Por el Comité Administrativo del Tribunal de Cuentas
El Presidente
Tony MURPHY
(1) DO L 256 de 19.7.2021, p. 106.
(2) Puede consultarse en https://www.eca.europa.eu/es/Pages/LegalFramework.aspx.
(3) De acuerdo con el artículo 1, apartado 2, de la Decisión n.o 41/2021, por información RESTREINT UE/EU RESTRICTED se entenderá «información y material cuya revelación no autorizada pueda resultar desfavorable para los intereses de la Unión Europea o de uno o varios Estados miembros».
(4) SSD se refiere a un dispositivo de almacenamiento por semiconductores, un dispositivo o una unidad de estado sólido.
(5) Según se define en el anexo de la Decisión n.o 41/2021.
(6) Según se define en el artículo 18 de la Decisión (UE, Euratom) 2015/444 de la Comisión, de 13 de marzo de 2015 , sobre las normas de seguridad para la protección de la información clasificada de la UE Decisión (DO L 72 de 17.3.2015, p. 53).
(7) Véase el artículo 39 para obtener más información.
(8) El cuadro de correspondencias de las marcas de los Estados miembros figura en el anexo I de la Decisión (UE, Euratom) 2015/444.
(9) Reglamento (CEE, Euratom) n.o 354/83 del Consejo, de 1 de febrero de 1983, relativo a la apertura al público de los archivos históricos de la Comunidad Económica Europea y de la Comunidad Europea de la Energía Atómica (DO L 43 de 15.2.1983, p. 1).
(10) Reglamento (CE, Euratom) n.o 1700/2003 del Consejo, de 22 de septiembre de 2003, por el que se modifica el Reglamento (CEE, Euratom) n.o 354/83 relativo a la apertura al público de los archivos históricos de la Comunidad Económica Europea y de la Comunidad Europea de la Energía Atómica (DO L 243 de 27.9.2003, p. 1).
(11) Reglamento (UE) 2015/496 del Consejo, de 17 de marzo de 2015, por el que se modifica el Reglamento (CEE, Euratom) n.o 354/83 en lo que respecta al depósito de los archivos históricos de las instituciones en el Instituto Universitario Europeo de Florencia (DO L 79 de 25.3.2003, p. 1).
(12) Puede consultarse en: https://workplace.eca.eu/DIT/policy/WIKI_RECLASSIFICATION/ECA%20Classification%20guidelines.aspx.
|
Categorías de personal del Tribunal de Cuentas |
Acceso a la información R-UE/EU-R |
Condiciones |
|
Funcionarios |
Sí |
Sesión de información + asunción de responsabilidad + necesidad de conocer |
|
Agentes temporales |
Sí |
Sesión de información + asunción de responsabilidad + necesidad de conocer |
|
Agentes contractuales |
Sí |
Sesión de información + asunción de responsabilidad + necesidad de conocer |
|
Expertos nacionales en comisión de servicios de Estados miembros de la UE |
Sí |
Sesión de información (a cargo del Tribunal de Cuentas) + asunción de responsabilidad + necesidad de conocer |
|
Becarios |
No |
No cabe ninguna excepción |
|
Cualquier otra categoría de personal (interinos, consultores externos en régimen «intramuros», etc.) |
No |
Consultar al responsable de seguridad de la información acerca de las excepciones posibles |
Agència Estatal Butlletí Oficial de l'Estat
Avda. de Manoteras, 54 - 28050 Madrid
