Beschluss (EU, Euratom) 2019/1963 der Kommission vom 17. Oktober 2019 zur Festlegung von Durchführungsbestimmungen über den Geheimschutz in der Wirtschaft in Bezug auf als Verschlusssache eingestufte öffentliche Aufträge

Durchsuchbarer Text in vereinfachter Darstellung. Tabellen, Abbildungen und verbindliche Gestaltung bitte anhand der Originaldateien prüfen.

Auskunftsformular ausfüllt. Das Formular sollte vorzugsweise in Großbuchstaben ausgefüllt werden. KOPFZEILE Der Antragsteller gibt die vollständige Bezeichnung der nationalen Sicherheitsbehörde/beauftragten Sicherheitsbehörde und die Länderbezeichnung an. 1. ART DER ANFRAGE Der ersuchende öffentliche Auftraggeber kreuzt das entsprechende Kästchen für die Art der Anfrage mittels Auskunftsformular an. Bitte geben Sie das Niveau der beantragten Sicherheitsermächtigung an. Dabei sind die folgenden Abkürzungen zu verwenden: SECRET UE/EU SECRET = S-UE/EU-S CONFIDENTIEL UE/EU CONFIDENTIAL = C-UE/EU-C KIS = Kommunikations- und Informationssysteme für die Verarbeitung von Verschlusssachen 2. ANGABEN ZUM ANTRAGSTELLER Die Felder 1 bis 6 bedürfen keiner weiteren Erklärung. In Feld 4 sollte der aus zwei Buchstaben bestehende Standard-Ländercode verwendet werden. Feld 5 ist fakultativ. 3. GRUND DER ANFRAGE Bitte geben Sie den Grund für den Antrag, die Projektindikatoren sowie die Nummer des Auftrags oder der Ausschreibung an. Bitte geben Sie den Bedarf an Speicherkapazität, den KIS-Geheimhaltungsgrad usw. an. Ebenso sollten alle Fristen, Ablauf- und Vergabedaten, die sich auf die Ausstellung eines Sicherheitsbescheids für Unternehmen auswirken könnten, angegeben werden. 4. ANTRAGSTELLENDE NATIONALE SICHERHEITSBEHÖRDE/BEAUFTRAGTE SICHERHEITSBEHÖRDE Geben Sie bitte den Namen des tatsächlichen Antragstellers (im Namen der nationalen Sicherheitsbehörde/beauftragten Sicherheitsbehörde) und das Datum des Antrags im Zahlenformat (TT/MM/JJJJ) an. 5. ANTWORTABSCHNITT Felder 1-5: bitte zutreffende Felder ankreuzen bzw. ausfüllen. Feld 2: Ist die Ausstellung eines Sicherheitsbescheids für Einrichtungen im Gange, so sollte dem Antragsteller die erforderliche Bearbeitungsdauer mitgeteilt werden (sofern bekannt). Feld 6: a) Obwohl es je Land oder selbst je Einrichtung Unterschiede bei der Validierung gibt, wird empfohlen, das Ablaufdatum für den Sicherheitsbescheid anzugeben. b) Ist die Bescheinigung des Sicherheitsbescheids unbefristet, kann dieses Feld durchgestrichen werden. c) Entsprechend den jeweiligen nationalen Rechtsvorschriften obliegt es dem Antragsteller oder dem Auftragnehmer bzw. Unterauftragnehmer, eine Verlängerung des Sicherheitsbescheids zu beantragen. 6. BEMERKUNGEN Hierunter können zusätzliche Angaben in Bezug auf den Sicherheitsbescheid, die Einrichtung oder die vorstehenden Punkte gemacht werden. 7. AUSSTELLENDE NATIONALE SICHERHEITSBEHÖRDE/BEAUFTRAGTE SICHERHEITSBEHÖRDE Geben Sie bitte den Namen der ausstellenden Behörde (im Namen der nationalen Sicherheitsbehörde/beauftragten Sicherheitsbehörde) und das Datum der Antwort im Zahlenformat (TT/MM/JJJJ) an. AUSKUNFTSFORMULAR ZU SICHERHEITSBESCHEIDEN FÜR EINRICHTUNGEN (MUSTER) Alle Felder müssen ausgefüllt werden. Das Formular ist über vernetzte Verwaltungskanäle oder Kanäle zwischen Behörden und internationalen Organisationen zu übermitteln. ERSUCHEN UM BESCHEINIGUNG EINES SICHERHEITSBESCHEIDS FÜR EINRICHTUNGEN AN: ____________________________________ (nationale Sicherheitsbehörde/beauftragte Sicherheitsbehörde, Länderbezeichnung) Bitte füllen Sie die zutreffenden Antwortfelder aus: [] Übermitteln Sie eine Bescheinigung eines Sicherheitsbescheids des Geheimhaltungsgrads [] S-UE/EU-S [] C-UE/EU-C für die nachstehend aufgeführte Einrichtung [] einschließlich des Schutzes von Verschlusssachen [] einschließlich Kommunikations- und Informationssysteme (KIS) für die Verarbeitung von Verschlusssachen [] Leiten Sie unmittelbar oder auf entsprechenden Antrag eines Auftragnehmers oder Unterauftragnehmers den Prozess zur Erlangung eines Sicherheitsbescheids für Einrichtungen bis einschließlich des Geheimhaltungsgrads … (Geheimhaltungsgrad … für den Schutz und Geheimhaltungsgrad … für das KIS) ein, sofern die Einrichtung über keine entsprechende Sicherheitsermächtigung verfügt. Bestätigen Sie die Richtigkeit der Angaben zu der nachstehend aufgeführten Einrichtung und nehmen Sie gegebenenfalls Korrekturen/Ergänzungen vor. 1. Vollständige Bezeichnung der Einrichtung: Korrekturen/Ergänzungen: … … 2. Vollständige Anschrift der Einrichtung: … … 3. Postanschrift (falls abweichend von 2.) … … 4. Postleitzahl/Stadt/Land … … 5. Name des Sicherheitsbeauftragten … … 6. Telefon/Fax/E-Mail des Sicherheitsbeauftragten … … 7. Dieses Ersuchen ergeht aus folgenden Gründen (machen Sie bitte nähere Angaben zur vorvertraglichen Phase (Auswahl der Vorschläge), zum Vertrag oder Untervertrag, zum Programm/Projekt usw.): … Antragsteller — nationale Sicherheitsbehörde/beauftragte Sicherheitsbehörde/Kommission als öffentlicher Auftraggeber: Bezeichnung: … Datum: (TT/MM/JJJJ) … ANTWORT (innerhalb von zehn Arbeitstagen) Hiermit wird Folgendes bescheinigt: 1. [] Die oben genannte Einrichtung verfügt über einen Sicherheitsbescheid bis einschließlich des Geheimhaltungsgrads [] S-UE/EU-S [] C-UE/EU-C. 2. Die oben genannte Einrichtung ist in der Lage, Verschlusssachen zu schützen: [] ja, Geheimhaltungsgrad: … [] nein. 3. Die oben genannte Einrichtung verfügt über ein akkreditiertes/zugelassenes KIS: [] ja, Geheimhaltungsgrad: … [] nein. 4. [] Im Zusammenhang mit dem vorliegenden Ersuchen wurde der Prozess zur Erlangung eines Sicherheitsbescheids für Einrichtungen in die Wege geleitet. Sie werden benachrichtigt, wenn der Sicherheitsbescheid ausgestellt oder verweigert wurde. 5. [] Die oben genannte Einrichtung verfügt über keinen Sicherheitsbescheid. 6. Diese Bescheinigung ist befristet bis zum … (TT/MM/JJJJ) oder bis zu einem anderen, von der nationalen Sicherheitsbehörde/beauftragten Sicherheitsbehörde genannten Datum. Sollte die Zusicherung vor Ablauf ihrer Gültigkeitsdauer für ungültig erklärt werden oder sollten Änderungen bei den oben genannten Informationen eintreten, werden Sie darüber in Kenntnis gesetzt. 7. Bemerkungen: … Ausstellende nationale Sicherheitsbehörde/beauftragte Sicherheitsbehörde Bezeichnung: … Datum: (TT/MM/JJJJ) … <Platzhalter für Verweis auf die geltenden Datenschutzvorschriften und Link zu der vorgeschriebenen Auskunft an die betroffene Person, z. B. darüber, wie Artikel 13 der Datenschutz-Grundverordnung (1) umgesetzt wird.> (1) Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (ABl. L 119 vom 4.5.2016, S. 1). Unteranhang E Mindestanforderungen für den Schutz elektronischer EU-VS des Geheimhaltungsgrads RESTREINT UE/EU RESTRICTED, die im KIS des Auftragnehmers bearbeitet werden Allgemeines 1. Der Auftragnehmer hat dafür zu sorgen, dass der Schutz von Verschlusssachen des Geheimhaltungsgrads „RESTREINT UE/EU RESTRICTED“ den in dieser Sicherheitsklausel festgelegten Mindestsicherheitsanforderungen und etwaigen sonstigen zusätzlichen Anforderungen des öffentlichen Auftraggebers oder gegebenenfalls der nationalen Sicherheitsbehörde oder der beauftragten Sicherheitsbehörde entspricht. 2. Der Auftragnehmer hat die in diesem Dokument genannten Sicherheitsanforderungen umzusetzen. 3. Für die Zwecke dieses Dokuments umfasst ein Kommunikations- und Informationssystem (KIS) alle Geräte und Anlagen, die für die Bearbeitung, Aufbewahrung bzw. Speicherung und Übermittlung von EU-VS eingesetzt werden, so z. B. Workstations, Drucker, Kopiergeräte, Faxgeräte, Server, Netzwerk- und Kommunikationscontroller, Laptops, Notebooks, Tablet-Computer, Smartphones und Wechseldatenspeicher wie USB-Datenträger, CDs, SD-Karten usw. 4. Spezielle Ausrüstung wie kryptografische Produkte muss im Einklang mit ihren speziellen sicherheitsbezogenen Betriebsverfahren geschützt werden. 5. Auftragnehmer müssen eine Struktur für die Sicherheitsverwaltung des KIS einrichten, mit den Verschlusssachen des Geheimhaltungsgrads „RESTREINT UE/EU RESTRICTED“ bearbeitet werden, und einen für die betreffende Einrichtung verantwortlichen Sicherheitsbeauftragten ernennen. 6. Der Einsatz von privaten IT (Hardware, Software oder Dienstleistungen) der Mitarbeiter des Auftragnehmers für die Aufbewahrung bzw. Speicherung oder die Verarbeitung von Verschlusssachen des Geheimhaltungsgrads RESTREINT UE/EU RESTRICTED ist nicht zulässig. 7. Die Akkreditierung eines KIS des Auftragnehmers, mit dem Verschlusssachen des Geheimhaltungsgrads „RESTREINT UE/EU RESTRICTED“ bearbeitet werden, muss von der Sicherheitsakkreditierungsstelle des betreffenden Mitgliedstaats genehmigt oder nach Maßgabe der nationalen Rechtsvorschriften dem Sicherheitsbeauftragten des Auftragnehmers übertragen werden. 8. Nur Verschlusssachen des Geheimhaltungsgrads „RESTREINT UE/EU RESTRICTED“, die unter Verwendung zugelassener kryptografischer Produkte verschlüsselt werden, dürfen (leitungsgebunden oder drahtlos) wie alle anderen nach dem Vertrag nicht als Verschlusssache eingestuften Informationen bearbeitet, gespeichert oder übermittelt werden. Diese kryptografischen Produkte müssen von der EU oder einem Mitgliedstaat zugelassen werden. 9. Externe Einrichtungen, die an Wartungs- und Reparaturarbeiten beteiligt sind, müssen vertraglich dazu verpflichtet werden, die in diesem Dokument niedergelegten geltenden Bestimmungen für die Bearbeitung von Verschlusssachen des Geheimhaltungsgrads „RESTREINT UE/EU RESTRICTED“ einzuhalten. 10. Auf Verlangen des öffentlichen Auftraggebers oder der zuständigen nationalen Sicherheitsbehörde/beauftragten Sicherheitsbehörde/Sicherheitsakkreditierungsstelle muss der Auftragnehmer den Nachweis für die Einhaltung der Sicherheitsklausel erbringen. Wird zudem eine Prüfung und Kontrolle der Prozesse und Einrichtungen des Auftragnehmers beantragt, um die Einhaltung dieser Anforderungen zu gewährleisten, so gestattet der Auftragnehmer Vertretern des öffentlichen Auftraggebers, der nationalen Sicherheitsbehörde/beauftragten Sicherheitsbehörde/Sicherheitsakkreditierungsstelle oder der zuständigen EU-Sicherheitsbehörde, eine entsprechende Prüfung und Kontrolle vorzunehmen. Materieller Geheimschutz 11. Bereiche, in denen KIS zur Darstellung, Speicherung, Verarbeitung oder Übermittlung von Verschlusssachen des Geheimhaltungsgrads RESTREINT UE/EU RESTRICTED verwendet werden, oder Bereiche mit Servern, Netzmanagementsystemen, Netz- und Kommunikationscontrollern für solche KIS sollten als getrennte und kontrollierte Bereiche mit einem geeigneten Zugangskontrollsystem eingerichtet werden. Der Zugang zu diesen getrennten und kontrollierten Bereichen sollte auf Personen mit Einzelgenehmigung beschränkt werden. Unbeschadet der Randnummer 8 muss Ausrüstung nach Randnummer 3 in solchen getrennten und kontrollierten Bereichen aufbewahrt werden. 12. Es müssen Sicherheitsmechanismen und/oder -verfahren eingerichtet werden, um die Einführung oder Verbindung von Computer-Wechselspeichermedien (wie USB-Datenträgern, Massenspeichervorrichtungen oder CD-RW) in bzw. mit Komponenten im KIS zu regeln. Zugang zu KIS 13. Der Zugang zum KIS eines Auftragnehmers, mit dem EU-VS bearbeitet werden, ist auf der Grundlage strikter Notwendigkeit und der Ermächtigung der Mitarbeiter zulässig. 14. Für alle KIS müssen aktualisierte Listen der zugelassenen Nutzer vorliegen. Alle Nutzer müssen zu Beginn jeder Verarbeitungssitzung authentifiziert werden. 15. Passwörter, die Teil der meisten Maßnahmen zur Identifizierung und Authentifizierung sind, müssen mindestens neun Zeichen enthalten, darunter Ziffern, Sonderzeichen und alphabetische Zeichen. Die Passwörter müssen mindestens alle 180 Tage geändert werden. Sie müssen umgehend geändert werden, wenn sie kompromittiert oder an Unbefugte weitergegeben wurden oder wenn Grund zur Annahme einer solchen Kompromittierung oder Weitergabe besteht. 16. Alle KIS müssen über interne Zugangskontrollen verfügen um zu verhindern, dass Unbefugte auf Verschlusssachen des Geheimhaltungsgrads „RESTREINT UE/EU RESTRICTED“ zugreifen und diese Verschlusssachen oder System- und Sicherheitskontrollen ändern. Die Nutzer müssen automatisch abgemeldet werden, wenn ihre Endgeräte über einen bestimmten Zeitraum inaktiv waren, oder das KIS muss nach 15 Minuten der Inaktivität einen passwortgeschützten Bildschirm aktivieren. 17. Jeder Nutzer des KIS erhält ein individuelles Nutzerkonto und eine individuelle Nutzer-ID. Die Nutzerkonten müssen automatisch gesperrt werden, sobald mindestens fünf aufeinander folgende Anmeldeversuche fehlgeschlagen sind. 18. Alle Nutzer des KIS müssen über ihre Verantwortlichkeiten und die Verfahren zum Schutz von als „RESTREINT UE/EU RESTRICTED“ eingestuften Verschlusssachen im KIS belehrt werden. Die Verantwortlichkeiten und die einzuhaltenden Verfahren müssen dokumentiert sein und von den Nutzern schriftlich anerkannt werden. 19. Die sicherheitsbezogenen Betriebsverfahren müssen für die Nutzer und Administratoren verfügbar sein und Beschreibungen der Sicherheitsfunktionen sowie eine dazugehörige Liste der Aufgaben, Anweisungen und Pläne enthalten. Protokollierung, Prüfung und Reaktion auf Sicherheitsvorfälle 20. Jeder Zugriff auf das KIS muss protokolliert werden. 21. Die folgenden Ereignisse müssen aufgezeichnet werden: a) alle — erfolgreichen und fehlgeschlagenen — Anmeldungsversuche, b) Abmeldungen (ggf. auch wegen Zeitüberschreitung), c) Erstellung, Löschung oder Änderung von Zugangsrechten und Berechtigungen, d) Erstellung, Löschung oder Änderung von Passwörtern. 22. Zu allen oben aufgeführten Ereignissen sind mindestens folgende Angaben zu machen: a) Art des Ereignisses; b) Nutzer-ID; c) Datum und Uhrzeit; d) Geräte-ID. 23. Die Protokolle sollten einem Sicherheitsbeauftragten bei der Untersuchung möglicher Sicherheitsvorfälle helfen. Sie können auch zur Unterstützung etwaiger rechtlicher Ermittlungen im Falle eines Sicherheitsvorfalls verwendet werden. Alle Sicherheitsaufzeichnungen sollten regelmäßig überprüft werden, um mögliche Sicherheitsvorfälle zu ermitteln. Die Protokolle sind vor unautorisierter Löschung oder Änderung zu schützen. 24. Der Auftragnehmer muss über eine Strategie für die Reaktion auf Sicherheitsvorfälle verfügen. Nutzer und Administratoren müssen geschult werden, wie auf Vorfälle zu reagieren ist, wie sie zu melden sind und was im Notfall zu tun ist. 25. Die tatsächliche oder mutmaßliche Kompromittierung von Verschlusssachen des Geheimhaltungsgrads „RESTREINT UE/EU RESTRICTED“ ist dem öffentlichen Auftraggeber zu melden. Die Meldung muss eine Beschreibung der betreffenden Informationen und der Umstände der tatsächlichen oder mutmaßlichen Kompromittierung enthalten. Alle Nutzer des KIS müssen darüber belehrt werden, wie ein tatsächlicher oder mutmaßlicher Sicherheitsvorfall dem Sicherheitsbeauftragten zu melden ist. Vernetzung und Zusammenschaltung 26. Wird ein KIS eines Auftragnehmers, mit dem Verschlusssachen des Geheimhaltungsgrads „RESTREINT UE/EU RESTRICTED“ bearbeitet werden, mit einem nicht akkreditierten KIS zusammengeschaltet, erhöht sich dadurch die Bedrohung sowohl für die Sicherheit des KIS als auch für die Sicherheit der mit diesem KIS bearbeiteten Verschlusssachen erheblich. Dies gilt auch für das Internet und andere öffentliche oder private KIS wie etwa andere KIS, die sich im Eigentum des Auftragnehmers oder Subunternehmers befinden. In diesem Fall muss der Auftragnehmer eine Risikobewertung durchführen, um die zusätzlichen Sicherheitsanforderungen zu ermitteln, die im Rahmen der Sicherheitsakkreditierung umzusetzen sind. Der Auftragnehmer legt dem öffentlichen Auftraggeber und, sofern dies aufgrund der nationalen Rechtsvorschriften vorgeschrieben ist, der zuständigen Sicherheitsakkreditierungsstelle eine Konformitätserklärung vor, mit der bescheinigt wird, dass das KIS sowie damit verbundene Zusammenschaltungen des Auftragnehmers für die Bearbeitung von EU-VS des Geheimhaltungsgrads „RESTREINT UE/EU RESTRICTED“ akkreditiert wurden. 27. Der Fernzugang von anderen Systemen zu LAN-Diensten (z. B. Fernzugang zu E-Mail und System-Fernunterstützung) ist verboten, sofern nicht besondere Sicherheitsmaßnahmen vorgenommen und vom öffentlichen Auftraggeber gebilligt und — wenn nationale Rechtsvorschriften dies vorschreiben — von der zuständigen Sicherheitsakkreditierungsstelle zugelassen werden. Konfigurationsmanagement 28. Eine ausführliche Hardware- und Softwarekonfiguration, die aus den Akkreditierungs-/Zulassungsunterlagen (einschließlich der System- und Netzdiagramme) hervorgeht, muss verfügbar sein und regelmäßig gewartet werden. 29. Der Sicherheitsbeauftragte des Auftragnehmers führt Konfigurationskontrollen an der Hardware und Software durch, um sicherzustellen, dass keine unzulässige Hardware oder Software installiert wurde. 30. Änderungen an der Konfiguration des KIS des Auftragnehmers müssen auf ihre Sicherheitsauswirkungen hin überprüft und vom Sicherheitsbeauftragten sowie — falls nationale Rechtsvorschriften dies vorschreiben — von der Sicherheitsakkreditierungsstelle genehmigt werden. 31. Das System muss mindestens einmal vierteljährlich auf Sicherheitslücken gescannt werden. Software zur Erkennung von Schadprogrammen muss installiert sein und stets aktualisiert werden. Nach Möglichkeit sollte diese Software eine nationale oder anerkannte internationale Zulassung haben; andernfalls sollte sie ein allgemein anerkannter Industriestandard sein. 32. Der Auftragnehmer muss einen Betriebskontinuitätsplan erstellen. Es müssen Backup-Verfahren eingerichtet werden, die Folgendem Rechnung tragen: a) Häufigkeit von Backups; b) Aufbewahrung am Standort (Feuerschutzbehälter) oder außerhalb des Standorts; c) Kontrolle des autorisierten Zugangs zu Backup-Kopien. Säuberung und Vernichtung 33. KIS oder Datenträger, die zu irgendeinem Zeitpunkt Verschlusssachen des Geheimhaltungsgrads RESTREINT UE/EU RESTRICTED enthielten, müssen vor ihrer Entsorgung komplett wie folgt gesäubert werden: a) Flash-Speicher (z. B. USB-Datenträger, SD-Karten, Solid-State-Drives (SSD), Hybridfestplatten) müssen mindestens dreimal überschrieben und anschließend überprüft werden, damit sichergestellt ist, dass der Originalinhalt nicht wiederhergestellt werden kann, oder die Speicherinhalte müssen mit einer zugelassenen Datenlöschsoftware gelöscht werden. b) Magnetische Medien (z. B. Festplatten) müssen überschrieben oder entmagnetisiert werden. c) Optische Medien (z. B. CDs und DVDs) müssen geschreddert oder zersetzt werden. d) Im Falle sonstiger Speichermedien sollte der öffentliche Auftraggeber oder gegebenenfalls die nationale Sicherheitsbehörde/beauftragte Sicherheitsbehörde/Sicherheitsakkreditierungsstelle hinsichtlich der zu erfüllenden Sicherheitsanforderungen zurate gezogen werden. 34. Datenträger müssen von Verschlusssachen des Geheimhaltungsgrads „RESTREINT UE/EU RESTRICTED“ gesäubert werden, bevor sie einer Einrichtung (z. B. zur Durchführung von Wartungsarbeiten) übergeben werden, die über keine Zugangsermächtigung für Verschlusssachen des Geheimhaltungsgrads „RESTREINT UE/EU RESTRICTED“ verfügt. ANHANG IV Sicherheitsbescheide und Sicherheitsüberprüfungen für Auftragnehmer, die Verschlusssachen des Geheimhaltungsgrads RESTREINT UE/EU RESTRICTED bearbeiten, und nationale Sicherheitsbehörden/beauftragte Sicherheitsbehörden, die eine Mitteilung von als Verschlusssache des Geheimhaltungsgrads RESTREINT UE/EU RESTRICTED eingestuften Aufträgen verlangen (1) Mitgliedstaat Sicherheitsbescheid für Einrichtungen Mitteilung von Aufträgen oder Unteraufträgen, die Verschlusssachen des Geheimhaltungsgrads R-UE/EU-R umfassen, an nationale Sicherheitsbehörden/beauftragte Sicherheitsbehörden Sicherheitsüberprüfung von Personal JA NEIN JA NEIN JA NEIN Belgien X X X Bulgarien X X X Tschechien X X X Dänemark X X X Deutschland X X X Estland X X X Irland X X X Griechenland X X X Spanien X X X Frankreich X X X Kroatien X X X Italien X X X Zypern X X X Lettland X X X Litauen X X X Luxemburg X X X Ungarn X X X Malta X X X Niederlande X (nur für verteidigungsbezogene Aufträge) X (nur für verteidigungsbezogene Aufträge) X Österreich X X X Polen X X X Portugal X X X Rumänien X X X Slowenien X X X Slowakei X X X Finnland X X X Schweden X (nur für verteidigungsbezogene Aufträge) X (nur für verteidigungsbezogene Aufträge) X (nur für verteidigungsbezogene Aufträge) Vereinigtes Königreich X X X (1) Diese nationalen Anforderungen in Bezug auf Sicherheitsbescheide und Sicherheitsüberprüfungen sowie auf Mitteilungen betreffend Verträge, die Verschlusssachen des Geheimhaltungsgrads RESTREINT UE/EU RESTRICTED umfassen, dürfen anderen Mitgliedstaaten oder Auftragnehmer, die deren Hoheitsgewalt unterstehen, keine zusätzlichen Verpflichtungen auferlegen. Hinweis: Verträge, die Verschlusssachen der Geheimhaltungsgrade CONFIDENTIEL UE/EU CONFIDENTIAL und SECRET UE/EU SECRET umfassen, sind in jedem Fall mitzuteilen. ANHANG V LISTE DER DIENSTSTELLEN DER NATIONALEN SICHERHEITSBEHÖRDEN/BEAUFTRAGTEN SICHERHEITSBEHÖRDEN, DIE FÜR VERFAHREN IM ZUSAMMENHANG MIT DEM GEHEIMSCHUTZ IN DER WIRTSCHAFT ZUSTÄNDIG SIND BELGIEN National Security Authority FPS Foreign Affairs Rue des Petits Carmes 15 1000 Brussels Tel.: +32 25014542 (Secretariat) Fax +32 25014596 E-Mail: nvo-ans@diplobel.fed.be BULGARIEN 1. State Commission on Information Security — National Security Authority 4 Kozloduy Street 1202 Sofia Tel.: +359 29835775 Fax +359 29873750 E-Mail: dksi@government.bg 2. Defence Information Service at the Ministry of Defence (security service) 3 Dyakon Ignatiy Street 1092 Sofia Tel.: +359 29227002 Fax +359 29885211 E-Mail: office@iksbg.org 3. State Intelligence Agency (security service) 12 Hajdushka Polyana Street 1612 Sofia Tel.: +359 29813221 Fax +359 29862706 E-Mail: office@dar.bg 4. State Agency for Technical Operations (security service) 29 Shesti Septemvri Street 1000 Sofia Tel.: +359 29824971 Fax +359 29461339