Art. 37. - Akredytacja CIS, w których korzysta się z EUCI - Decyzja 2015/444 w sprawie przepisów bezpieczeństwa dotyczących ochrony informacji niejawnych UE

Dzienniki UE

Dz.U.UE.L.2015.72.53

Akt obowiązujący

Wersja od: 17 marca 2015 r.

Artykuł  37

Akredytacja CIS, w których korzysta się z EUCI

1. Wszystkie CIS, w których korzysta się z EUCI, poddawane są procedurze akredytacji na podstawie zasad zabezpieczania informacji; poziom ich szczegółowości musi być proporcjonalny do poziomu wymaganej ochrony.

2. Procedura akredytacji obejmuje formalne zatwierdzenie przez organ ds. akredytacji bezpieczeństwa Komisji planu bezpieczeństwa dla danego CIS w celu uzyskania pewności, że:

a) proces zarządzania ryzykiem, o którym mowa w art. 36 ust. 2, został odpowiednio przeprowadzony;

b) właściciel systemu świadomie zaakceptował ryzyko szczątkowe; oraz

c) osiągnięto wystarczający poziom ochrony CIS i przetwarzanych w nim EUCI zgodnie z niniejszą decyzją.

3. Organ Komisji ds. akredytacji bezpieczeństwa wydaje świadectwo akredytacji określające najwyższą klauzulę tajności EUCI, które mogą być przetwarzane w danym CIS, a także odpowiednie warunki jego działania. Nie narusza to zadań powierzonych Radzie Akredytacji w zakresie Bezpieczeństwa i określonych w art. 11 rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 512/2014 ¹² .

4. Wspólna Rada Akredytacji w zakresie Bezpieczeństwa jest odpowiedzialna za udzielanie akredytacji CIS Komisji, w funkcjonowanie którego zaangażowanych jest kilka stron. W skład tej rady wchodzi po jednym przedstawicielu SAA z każdej zaangażowanej strony, a jej obradom przewodniczy przedstawiciel SAA ze strony Komisji.

5. Procedura akredytacji obejmuje szereg zadań, które muszą wykonać zaangażowane strony. Odpowiedzialność za przygotowywanie dokumentacji akredytacyjnej spoczywa całkowicie na właścicielu systemu CIS.

6. Za akredytację odpowiedzialny jest organ Komisji ds. akredytacji bezpieczeństwa, który na każdym etapie cyklu życia CIS ma prawo do:

a) zażądania zastosowania procesu akredytacji;

b) przeprowadzenia audytu lub inspekcji CIS;

c) w przypadku gdy przestały być spełnione warunki działania - zażądania określenia planu poprawy bezpieczeństwa i jego skutecznego wdrożenia w ściśle określonych ramach czasowych, ewentualnego wycofania zezwolenia na eksploatację CIS do momentu, w którym warunki działania zostaną ponownie spełnione.

7. Procedurę akredytacji określono w standardzie procedury akredytacji dla CIS, w którym przetwarzane są EUCI; zostaje on przyjęty zgodnie z art.10 ust. 3 decyzji C(2006) 3602.

¹² Rozporządzenie Parlamentu Europejskiego i Rady (UE) nr 512/2014 z dnia 16 kwietnia 2014 r. zmieniające rozporządzenie (UE) nr 912/2010 ustanawiające Agencję Europejskiego GNSS (Dz.U. L 150 z 20.5.2014, s. 72).