Beschluss (EU, Euratom) 2021/259 der Kommission vom 10. Februar 2021 zur Festlegung von Durchführungsbestimmungen über den Geheimschutz in der Wirtschaft in Bezug auf als Verschlusssache eingestufte Finanzhilfen

Durchsuchbarer Text in vereinfachter Darstellung. Tabellen, Abbildungen und verbindliche Gestaltung bitte anhand der Originaldateien prüfen.

(MODEL) TO: _______________________________________ 1. TYPE OF VISIT REQUEST 2. TYPE OF INFORMATION 3. SUMMARY ☐ Single ☐ Recurring ☐ Emergency ☐ Amendment ☐ Dates ☐ Visitors ☐ Facility For an amendment, insert the NSA/DSA original RFV Reference No_____________ ☐ C-UE/EU-C ☐ S-UE/EU-S No of sites: _______ No of visitors: _____ 4. ADMINISTRATIVE DATA: Requester: To: NSA/DSA RFV Reference No________________ Date (dd/mm/yyyy): _____/_____/_____ 5. REQUESTING ORGANISATION OR INDUSTRIAL FACILITY NAME: POSTAL ADDRESS: E-MAIL ADDRESS: FAX NO: TELEPHONE NO: 6. ORGANISATION(S) OR INDUSTRIAL FACILITY(IES) TO BE VISITED (Annex 1 to be completed) 7. DATE OF VISIT (dd/mm/yyyy): FROM _____/_____/_____ TO _____/_____/_____ 8. TYPE OF INITIATIVE ☐ Initiated by requesting organisation or facility ☐ By invitation of the facility to be visited 9. THE VISIT RELATES TO CONTRACT: 10. SUBJECT TO BE DISCUSSED/REASONS/PURPOSE (Include details of host entity and any other relevant information. Abbreviations should be avoided): 11. ANTICIPATED HIGHEST CLASSIFICATION LEVEL OF INFORMATION/MATERIAL OR SITE ACCESS TO BE INVOLVED: 12. PARTICULARS OF VISITOR(S) (Annex 2 to be completed) 13. THE SECURITY OFFICER OF THE REQUESTING ORGANISATION OR INDUSTRIAL FACILITY: NAME: TELEPHONE NO: E-MAIL ADDRESS: SIGNATURE: 14. CERTIFICATION OF SECURITY CLEARANCE LEVEL: NAME: ADDRESS: TELEPHONE NO: E-MAIL ADDRESS: SIGNATURE: Date (dd/mm/yyyy): _____/_____/_____ 15. REQUESTING NATIONAL SECURITY AUTHORITY/DESIGNATED SECURITY AUTHORITY: NAME: ADDRESS: TELEPHONE NO: E-MAIL ADDRESS: SIGNATURE: Date (dd/mm/yyyy): _____/_____/_____ 16. REMARKS (Mandatory justification required in the case of an emergency visit): <Platzhalter für Verweis auf die geltenden Datenschutzvorschriften und Link zu der vorgeschriebenen Auskunft an die betroffene Person, z. B. darüber, wie Artikel 13 der Datenschutz-Grundverordnung (10) umgesetzt wird.> ANNEX 1 to RFV FORM ORGANISATION(S) OR INDUSTRIAL FACILITY(IES) TO BE VISITED 1. NAME: ADDRESS: TELEPHONE NO: FAX NO: NAME OF POINT OF CONTACT: E-MAIL: TELEPHONE NO: NAME OF SECURITY OFFICER OR SECONDARY POINT OF CONTACT: E-MAIL: TELEPHONE NO: 2. NAME: ADDRESS: TELEPHONE NO: FAX NO: NAME OF POINT OF CONTACT: E-MAIL: TELEPHONE NO: NAME OF SECURITY OFFICER OR SECONDARY POINT OF CONTACT: E-MAIL: TELEPHONE NO: (Continue as required) <Platzhalter für Verweis auf die geltenden Datenschutzvorschriften und Link zu der vorgeschriebenen Auskunft an die betroffene Person, z. B. darüber, wie Artikel 13 der Datenschutz-Grundverordnung (11 12) umgesetzt wird.> ANNEX 2 to RFV FORM PARTICULARS OF VISITOR(S) 1. SURNAME: FIRST NAMES (as per passport): DATE OF BIRTH (dd/mm/yyyy):____/____/____ PLACE OF BIRTH: NATIONALITY: SECURITY CLEARANCE LEVEL: PP/ID NUMBER: POSITION: COMPANY/ORGANISATION: 2. SURNAME: FIRST NAMES (as per passport): DATE OF BIRTH (dd/mm/yyyy):____/____/____ PLACE OF BIRTH: NATIONALITY: SECURITY CLEARANCE LEVEL: PP/ID NUMBER: POSITION: COMPANY/ORGANISATION: (Continue as required) <Platzhalter für Verweis auf die geltenden Datenschutzvorschriften und Link zu der vorgeschriebenen Auskunft an die betroffene Person, z. B. darüber, wie Artikel 13 der Datenschutz-Grundverordnung (11 12) umgesetzt wird.> Unteranhang D AUSKUNFTSFORMULAR ZU SICHERHEITSBESCHEIDEN FÜR EINRICHTUNGEN (MUSTER) 1. EINLEITUNG 1.1. Nachstehend findet sich ein Muster eines Auskunftsformulars zu Sicherheitsbescheiden für Einrichtungen (im Folgenden „Auskunftsformular“), das dem raschen Informationsaustausch zwischen der nationalen Sicherheitsbehörde oder der beauftragten Sicherheitsbehörde, anderen zuständigen nationalen Sicherheitsbehörden und der Sicherheitsstelle der Kommission (die im Namen der Vergabebehörden handeln) im Hinblick auf Sicherheitsbescheide für Einrichtungen dient, die an als Verschlusssache eingestuften Anträgen und der Durchführung von Finanzhilfen oder Unteraufträgen beteiligt sind. 1.2. Das Auskunftsformular ist nur gültig, wenn es von der zuständigen nationalen Sicherheitsbehörde, der beauftragten Sicherheitsbehörde oder einer anderen zuständigen Behörde abgestempelt wurde. 1.3. Das Auskunftsformular ist in einen Anfrage- und einen Antwortabschnitt gegliedert und kann für die oben genannten Zwecke oder für sonstige Zwecke, für die der Sicherheitsbescheid-Status einer bestimmten Einrichtung erforderlich ist, verwendet werden. Der Grund für das Auskunftsersuchen ist von der ersuchenden nationalen Sicherheitsbehörde oder beauftragten Sicherheitsbehörde in Feld 7 des Anfrageabschnitts anzugeben. 1.4. Die Angaben im Auskunftsformular werden für gewöhnlich nicht als Verschlusssachen eingestuft. Dementsprechend sollte die Übermittlung eines Auskunftsformulars zwischen den jeweiligen nationalen Sicherheitsbehörden/beauftragten Sicherheitsbehörden/der Kommission vorzugsweise auf elektronischem Wege erfolgen. 1.5. Die nationalen Sicherheitsbehörden/beauftragten Sicherheitsbehörden sollten nach Möglichkeit innerhalb von zehn Arbeitstagen auf eine Anfrage mittels Auskunftsformular reagieren. 1.6. Sollten im Zusammenhang mit der Bescheinigung eines Sicherheitsbescheids Verschlusssachen übermittelt oder eine Finanzhilfe gewährt bzw. ein Unterauftrag vergeben werden, so ist die ausstellende nationale Sicherheitsbehörde oder beauftragte Sicherheitsbehörde darüber zu unterrichten. Verfahren und Anweisungen für die Verwendung des Auskunftsformulars zu Sicherheitsbescheiden für Einrichtungen Diese ausführlichen Anweisungen sind für die nationale Sicherheitsbehörde oder beauftragte Sicherheitsbehörde oder die Sicherheitsstelle der Kommission bestimmt, die das Auskunftsformular ausfüllt. Das Formular sollte vorzugsweise in Großbuchstaben ausgefüllt werden. KOPFZEILE Der Antragsteller gibt die vollständige Bezeichnung der nationalen Sicherheitsbehörde/beauftragten Sicherheitsbehörde und die Länderbezeichnung an. 1. ART DER ANFRAGE Die ersuchende Vergabebehörde kreuzt das entsprechende Kästchen für die Art der Anfrage mittels Auskunftsformular an. Bitte geben Sie das Niveau der beantragten Sicherheitsermächtigung an. Dabei sind die folgenden Abkürzungen zu verwenden: SECRET UE/EU SECRET = S-UE/EU-S CONFIDENTIEL UE/EU CONFIDENTIAL = C-UE/EU-C KIS = Kommunikations- und Informationssysteme für die Verarbeitung von Verschlusssachen 2. ANGABEN ZUM ANTRAGSTELLER Die Felder 1 bis 6 bedürfen keiner weiteren Erklärung. In Feld 4 sollte der aus zwei Buchstaben bestehende Standard-Ländercode verwendet werden. Feld 5 ist fakultativ. 3. GRUND DER ANFRAGE Bitte geben Sie den Grund für den Antrag, die Projektindikatoren sowie die Nummer der Aufforderung oder der Finanzhilfe an. Bitte geben Sie den Bedarf an Speicherkapazität, den KIS-Geheimhaltungsgrad usw. an. Ebenso sollten alle Fristen, Ablauf- und Vergabedaten, die sich auf die Ausstellung eines Sicherheitsbescheids für Unternehmen auswirken könnten, angegeben werden. 4. ANTRAGSTELLENDE NATIONALE SICHERHEITSBEHÖRDE/BEAUFTRAGTE SICHERHEITSBEHÖRDE Geben Sie bitte den Namen des tatsächlichen Antragstellers (im Namen der nationalen Sicherheitsbehörde/beauftragten Sicherheitsbehörde) und das Datum des Antrags im Zahlenformat (TT/MM/JJJJ) an. 5. ANTWORTABSCHNITT Felder 1-5: bitte zutreffende Felder ankreuzen bzw. ausfüllen. Feld 2: Ist die Ausstellung eines Sicherheitsbescheids für Einrichtungen im Gange, so sollte dem Antragsteller die erforderliche Bearbeitungsdauer mitgeteilt werden (sofern bekannt). Feld 6: a) Obwohl es je Land oder selbst je Einrichtung Unterschiede bei der Validierung gibt, wird empfohlen, das Ablaufdatum für den Sicherheitsbescheid anzugeben. b) Ist die Bescheinigung des Sicherheitsbescheids unbefristet, kann dieses Feld durchgestrichen werden. c) Entsprechend den jeweiligen nationalen Rechtsvorschriften obliegt es dem Antragsteller oder dem Finanzhilfeempfänger bzw. Unterauftragnehmer, eine Verlängerung des Sicherheitsbescheids zu beantragen. 6. BEMERKUNGEN Hierunter können zusätzliche Angaben in Bezug auf den Sicherheitsbescheid, die Einrichtung oder die vorstehenden Punkte gemacht werden. 7. AUSSTELLENDE NATIONALE SICHERHEITSBEHÖRDE/BEAUFTRAGTE SICHERHEITSBEHÖRDE Geben Sie bitte den Namen der ausstellenden Behörde (im Namen der nationalen Sicherheitsbehörde/beauftragten Sicherheitsbehörde) und das Datum der Antwort im Zahlenformat (TT/MM/JJJJ) an. AUSKUNFTSFORMULAR ZU SICHERHEITSBESCHEIDEN FÜR EINRICHTUNGEN (MUSTER) Alle Felder müssen ausgefüllt werden. Das Formular ist über vernetzte Verwaltungskanäle oder Kanäle zwischen Behörden und internationalen Organisationen zu übermitteln. ERSUCHEN UM BESCHEINIGUNG EINES SICHERHEITSBESCHEIDS FÜR EINRICHTUNGEN AN: ____________________________________ (nationale Sicherheitsbehörde/beauftragte Sicherheitsbehörde, Länderbezeichnung) Bitte füllen Sie die zutreffenden Antwortfelder aus: [ ] Übermitteln Sie eine Bescheinigung eines Sicherheitsbescheids des Geheimhaltungsgrads [ ] S-UE/EU-S [ ] C-UE/EU-C für die nachstehend aufgeführte Einrichtung [ ] einschließlich des Schutzes von Verschlusssachen [ ] einschließlich Kommunikations- und Informationssysteme (KIS) für die Verarbeitung von Verschlusssachen [ ] Leiten Sie unmittelbar oder auf entsprechenden Antrag eines Finanzhilfeempfängers oder Unterauftragnehmers den Prozess zur Erlangung eines Sicherheitsbescheids für Einrichtungen bis einschließlich des Geheimhaltungsgrads … (Geheimhaltungsgrad … für den Schutz und Geheimhaltungsgrad … für das KIS) ein, sofern die Einrichtung über keine entsprechende Sicherheitsermächtigung verfügt. Bestätigen Sie die Richtigkeit der Angaben zu der nachstehend aufgeführten Einrichtung und nehmen Sie gegebenenfalls Korrekturen/Ergänzungen vor. 1. Vollständige Bezeichnung der Einrichtung: Korrekturen/Ergänzungen: … … 2. Vollständige Anschrift der Einrichtung: … … 3. Postanschrift (falls abweichend von 2.) … … 4. Postleitzahl/Stadt/Land … … 5. Name der/des Sicherheitsbeauftragten ……………………………………………………………… ……………………………………………………………… 6. Telefon/Fax/E-Mail der/des Sicherheitsbeauftragten … … 7. Dieses Ersuchen ergeht aus folgenden Gründen (machen Sie bitte nähere Angaben zur vorvertraglichen Phase (Auswahl der Vorschläge), zur Finanzhilfe oder zum Untervertrag, Programm/Projekt usw.): … Ersuchende nationale Sicherheitsbehörde/Beauftragte Sicherheitsbehörde/Vergabebehörde: Name: … Datum: (TT/MM/JJJJ)… ANTWORT (innerhalb von zehn Arbeitstagen) Hiermit wird Folgendes bescheinigt: 1. [ ] Die oben genannte Einrichtung verfügt über einen Sicherheitsbescheid bis einschließlich des Geheimhaltungsgrads [ ] S-UE/EU-S [ ] C-UE/EU-C. 2. Die oben genannte Einrichtung ist in der Lage, Verschlusssachen zu schützen: Datum:(TT/MM/JJJJ)… [ ] ja, Geheimhaltungsgrad: Datum:(TT/MM/JJJJ) [ ] nein. 3. Die oben genannte Einrichtung verfügt über ein akkreditiertes/zugelassenes KIS: [ ] ja, Geheimhaltungsgrad: Datum:(TT/MM/JJJJ)… [ ] nein. 4. [ ] Im Zusammenhang mit dem vorliegenden Ersuchen wurde der Prozess zur Erlangung eines Sicherheitsbescheids für Einrichtungen in die Wege geleitet. Sie werden benachrichtigt, wenn der Sicherheitsbescheid ausgestellt oder verweigert wurde. 5. [ ] Die oben genannte Einrichtung verfügt über keinen Sicherheitsbescheid. 6. Diese Bescheinigung ist befristet bis zum Datum:(TT/MM/JJJJ) … (TT/MM/JJJJ) oder bis zu einem anderen, von der nationalen Sicherheitsbehörde/beauftragten Sicherheitsbehörde genannten Datum. Sollte die Zusicherung vor Ablauf ihrer Gültigkeitsdauer für ungültig erklärt werden oder sollten Änderungen bei den oben genannten Informationen eintreten, werden Sie darüber in Kenntnis gesetzt. 7. Bemerkungen: … Ausstellende nationale Sicherheitsbehörde/beauftragte Sicherheitsbehörde Name:… Datum:(TT/MM/JJJJ)… <Platzhalter für Verweis auf die geltenden Datenschutzvorschriften und Link zu der vorgeschriebenen Auskunft an die betroffene Person, z. B. darüber, wie Artikel 13 der Datenschutz-Grundverordnung (13) umgesetzt wird.> Unteranhang E Mindestanforderungen für den Schutz elektronischer EU-VS des Geheimhaltungsgrads RESTREINT UE/EU RESTRICTED, die im KIS des Finanzhilfeempfängers bearbeitet werden Allgemeines 1. Der Finanzhilfeempfänger hat dafür zu sorgen, dass der Schutz von Verschlusssachen des Geheimhaltungsgrads „RESTREINT UE/EU RESTRICTED“ den in dieser Sicherheitsklausel festgelegten Mindestsicherheitsanforderungen und etwaigen sonstigen zusätzlichen Anforderungen der Vergabebehörde oder gegebenenfalls der nationalen Sicherheitsbehörde oder der beauftragten Sicherheitsbehörde entspricht. 2. Der Finanzhilfeempfänger hat die in diesem Dokument genannten Sicherheitsanforderungen umzusetzen. 3. Für die Zwecke dieses Dokuments umfasst ein Kommunikations- und Informationssystem (KIS) alle Geräte und Anlagen, die für die Bearbeitung, Aufbewahrung bzw. Speicherung und Übermittlung von EU-VS eingesetzt werden, so z. B. Workstations, Drucker, Kopiergeräte, Faxgeräte, Server, Netzwerk- und Kommunikationscontroller, Laptops, Notebooks, Tablet-Computer, Smartphones und Wechseldatenspeicher wie USB-Datenträger, CDs, SD-Karten usw. 4. Spezielle Ausrüstung wie kryptografische Produkte muss im Einklang mit ihren speziellen sicherheitsbezogenen Betriebsverfahren geschützt werden. 5. Finanzhilfeempfänger müssen eine Struktur für die Sicherheitsverwaltung des KIS einrichten, mit dem Verschlusssachen des Geheimhaltungsgrads „RESTREINT UE/EU RESTRICTED“ bearbeitet werden, und einen für die betreffende Einrichtung verantwortlichen Sicherheitsbeauftragten ernennen. 6. Der Einsatz von privaten IT (Hardware, Software oder Dienstleistungen) der Mitarbeiter des Finanzhilfeempfängers für die Aufbewahrung bzw. Speicherung oder die Verarbeitung von Verschlusssachen des Geheimhaltungsgrads RESTREINT UE/EU RESTRICTED ist nicht zulässig. 7. Die Akkreditierung eines KIS des Finanzhilfeempfängers, mit dem Verschlusssachen des Geheimhaltungsgrads „RESTREINT UE/EU RESTRICTED“ bearbeitet werden, muss von der Sicherheitsakkreditierungsstelle des betreffenden Mitgliedstaats genehmigt oder nach Maßgabe der nationalen Rechtsvorschriften dem Sicherheitsbeauftragten des Finanzhilfeempfängers übertragen werden. 8. Nur Verschlusssachen des Geheimhaltungsgrads „RESTREINT UE/EU RESTRICTED“, die unter Verwendung zugelassener kryptografischer Produkte verschlüsselt werden, dürfen (leitungsgebunden oder drahtlos) wie alle anderen nach der Finanzhilfevereinbarung nicht als Verschlusssache eingestuften Informationen bearbeitet, gespeichert oder übermittelt werden. Diese kryptografischen Produkte müssen von der EU oder einem Mitgliedstaat zugelassen werden. 9. Externe Einrichtungen, die an Wartungs- und Reparaturarbeiten beteiligt sind, müssen vertraglich dazu verpflichtet werden, die in diesem Dokument niedergelegten geltenden Bestimmungen für die Bearbeitung von Verschlusssachen des Geheimhaltungsgrads „RESTREINT UE/EU RESTRICTED“ einzuhalten. 10. Auf Verlangen der Vergabebehörde oder der zuständigen nationalen Sicherheitsbehörde, beauftragten Sicherheitsbehörde oder Sicherheitsakkreditierungsstelle muss der Finanzhilfeempfänger den Nachweis für die Einhaltung der Sicherheitsklausel erbringen. Wird zudem eine Prüfung und Kontrolle der Prozesse und Einrichtungen des Finanzhilfeempfängers beantragt, um die Einhaltung dieser Anforderungen zu gewährleisten, so gestattet der Finanzhilfeempfänger Vertretern der Vergabebehörde, der nationalen Sicherheitsbehörde, beauftragten Sicherheitsbehörde und/oder Sicherheitsakkreditierungsstelle bzw. der zuständigen EU-Sicherheitsbehörde, eine entsprechende Prüfung und Kontrolle vorzunehmen. Materieller Geheimschutz 11. Bereiche, in denen KIS zur Darstellung, Speicherung, Verarbeitung oder Übermittlung von Verschlusssachen des Geheimhaltungsgrads RESTREINT UE/EU RESTRICTED verwendet werden, oder Bereiche mit Servern, Netzmanagementsystemen, Netz- und Kommunikationscontrollern für solche KIS sollten als getrennte und kontrollierte Bereiche mit einem geeigneten Zugangskontrollsystem eingerichtet werden. Der Zugang zu diesen getrennten und kontrollierten Bereichen sollte auf Personen mit Einzelgenehmigung beschränkt werden. Unbeschadet der Randnummer 8 muss Ausrüstung nach Randnummer 3 in solchen getrennten und kontrollierten Bereichen aufbewahrt werden. 12. Es müssen Sicherheitsmechanismen und/oder -verfahren eingerichtet werden, um die Einführung oder Verbindung von Computer-Wechselspeichermedien (wie USB-Datenträgern, Massenspeichervorrichtungen oder CD-RW) in bzw. mit Komponenten im KIS zu regeln. Zugang zu KIS 13. Der Zugang zum KIS eines Finanzhilfeempfängers, mit dem EU-VS bearbeitet werden, ist auf der Grundlage strikter Notwendigkeit und der Ermächtigung der Mitarbeiter zulässig. 14. Für alle KIS müssen aktualisierte Listen der zugelassenen Nutzer vorliegen. Alle Nutzer müssen zu Beginn jeder Verarbeitungssitzung authentifiziert werden. 15. Passwörter, die Teil der meisten Maßnahmen zur Identifizierung und Authentifizierung sind, müssen mindestens neun Zeichen enthalten, darunter Ziffern, Sonderzeichen (wenn vom System gestattet) und alphabetische Zeichen. Die Passwörter müssen mindestens alle 180 Tage geändert werden. Sie müssen umgehend geändert werden, wenn sie kompromittiert oder an Unbefugte weitergegeben wurden oder wenn Grund zur Annahme einer solchen Kompromittierung oder Weitergabe besteht. 16. Alle KIS müssen über interne Zugangskontrollen verfügen um zu verhindern, dass Unbefugte auf Verschlusssachen des Geheimhaltungsgrads „RESTREINT UE/EU RESTRICTED“ zugreifen und diese Verschlusssachen oder System- und Sicherheitskontrollen ändern. Die Nutzer müssen automatisch abgemeldet werden, wenn ihre Endgeräte über einen bestimmten Zeitraum inaktiv waren, oder das KIS muss nach 15 Minuten der Inaktivität einen passwortgeschützten Bildschirm aktivieren. 17. Jeder Nutzer des KIS erhält ein individuelles Nutzerkonto und eine individuelle Nutzer-ID. Benutzerkonten müssen automatisch gesperrt werden, wenn fünf aufeinanderfolgende unrichtige Anmeldeversuche durchgeführt wurden 18. Alle Nutzer des KIS müssen über ihre Verantwortlichkeiten und die Verfahren zum Schutz von als „RESTREINT UE/EU RESTRICTED“ eingestuften Verschlusssachen im KIS belehrt werden. Die Verantwortlichkeiten und die einzuhaltenden Verfahren müssen dokumentiert sein und von den Nutzern schriftlich anerkannt werden. 19. Die sicherheitsbezogenen Betriebsverfahren müssen für die Nutzer und Administratoren verfügbar sein und Beschreibungen der Sicherheitsfunktionen sowie eine dazugehörige Liste der Aufgaben, Anweisungen und Pläne enthalten. Protokollierung, Prüfung und Reaktion auf Sicherheitsvorfälle 20. Jeder Zugriff auf das KIS muss protokolliert werden. 21. Die folgenden Ereignisse müssen aufgezeichnet werden: a) alle — erfolgreichen und fehlgeschlagenen — Anmeldungsversuche, b) Abmeldungen (ggf. auch wegen Zeitüberschreitung), c) Erstellung, Löschung oder Änderung von Zugangsrechten und Berechtigungen, d) Erstellung, Löschung oder Änderung von Passwörtern. 22. Zu allen oben aufgeführten Ereignissen sind mindestens folgende Angaben zu machen: a) Art des Ereignisses, b) Nutzer-ID, c) Datum und Uhrzeit, d) Geräte-ID. 23. Die Protokolle sollten einem Sicherheitsbeauftragten bei der Untersuchung möglicher Sicherheitsvorfälle helfen. Sie können auch zur Unterstützung etwaiger rechtlicher Ermittlungen im Falle eines Sicherheitsvorfalls verwendet werden. Alle Sicherheitsaufzeichnungen sollten regelmäßig überprüft werden, um mögliche Sicherheitsvorfälle zu ermitteln. Die Protokolle sind vor unautorisierter Löschung oder Änderung zu schützen. 24. Der Finanzhilfeempfänger muss über eine Strategie für die Reaktion auf Sicherheitsvorfälle verfügen. Nutzer und Administratoren müssen geschult werden, wie auf Vorfälle zu reagieren ist, wie sie zu melden sind und was im Notfall zu tun ist. 25. Die tatsächliche oder mutmaßliche Kompromittierung von Verschlusssachen des Geheimhaltungsgrads „RESTREINT UE/EU RESTRICTED“ ist der Vergabebehörde zu melden. Die Meldung muss eine Beschreibung der betreffenden Informationen und der Umstände der tatsächlichen oder mutmaßlichen Kompromittierung enthalten. Alle Nutzer des KIS müssen darüber belehrt werden, wie ein tatsächlicher oder mutmaßlicher Sicherheitsvorfall dem Sicherheitsbeauftragten zu melden ist. Vernetzung und Zusammenschaltung 26. Wird ein KIS eines Finanzhilfeempfängers, mit dem Verschlusssachen des Geheimhaltungsgrads „RESTREINT UE/EU RESTRICTED“ bearbeitet werden, mit einem nicht akkreditierten KIS zusammengeschaltet, erhöht sich dadurch die Bedrohung sowohl für die Sicherheit des KIS als auch für die Sicherheit der mit diesem KIS bearbeiteten Verschlusssachen erheblich. Dies gilt auch für das Internet und andere öffentliche oder private KIS wie etwa andere KIS, die sich im Eigentum des Finanzhilfeempfängers oder Subunternehmers befinden. In diesem Fall muss der Finanzhilfeempfänger eine Risikobewertung durchführen, um die zusätzlichen Sicherheitsanforderungen zu ermitteln, die im Rahmen der Sicherheitsakkreditierung umzusetzen sind. Der Finanzhilfeempfänger legt der Vergabebehörde und, sofern dies aufgrund der nat