Beschluss des Präsidiums des Europäischen Parlaments vom 15. April 2013 über die Regeln zur Behandlung vertraulicher Informationen durch das Europäische Parlament

Durchsuchbarer Text in vereinfachter Darstellung. Tabellen, Abbildungen und verbindliche Gestaltung bitte anhand der Originaldateien prüfen.

ndig erachtet wird, während der Schutz in Bezug auf das übrige Dokument weiterhin als gerechtfertigt gilt. 78. Wenn im Zuge der Überprüfung einer EU-Verschlusssache, die in einem vom Parlament erstellten Dokument enthalten ist, entschieden wird, die Verschlusssache freizugeben, muss geklärt werden, ob das Dokument veröffentlicht werden kann oder ob es mit einer Verteilungskennzeichnung versehen werden soll (und also nicht veröffentlicht wird). 79. Wenn eine EU-Verschlusssache freigegeben wird, wird die Freigabe im Dienstbuch zusammen mit den folgenden Angaben erfasst: Datum der Freigabe, Name der Person, die die Freigabe beantragt hat, und der Person, die die Freigabe genehmigt hat, Nummer des freigegebenen Dokuments und dessen Endbestimmung. 80. Die alten Verschlusssachenkennzeichnungen auf dem freigegebenen Dokument und den Kopien dieses Dokuments werden durchgestrichen. Das Original und die Kopien des Dokuments werden entsprechend aufbewahrt. 81. Bei teilweiser Freigabe von Verschlusssachen ist der freigegebene Teil als Auszug anzulegen und entsprechend aufzubewahren. Die zuständige Dienststelle registriert a) das Datum der teilweisen Freigabe, b) den Namen der Person, die die Freigabe beantragt hat, und der Person, die die Freigabe genehmigt hat, und c) die Nummer des freigegebenen Auszugs. K.3. Herabstufung 82. Nach der Herabstufung einer Verschlusssache wird das diese Verschlusssache enthaltende Dokument in den Dienstbüchern für den alten wie auch den neuen Geheimhaltungsgrad registriert. Zu vermerken sind das Datum der Herabstufung sowie der Name der Person, die diese genehmigt hat. 83. Das Dokument, das die herabgestuften Informationen enthält, und alle Kopien dieses Dokuments werden nach dem neuen Geheimhaltungsgrad eingestuft und entsprechend aufbewahrt. L. VERNICHTUNG VERTRAULICHER INFORMATIONEN 84. Vertrauliche Informationen (als Papierfassung oder in elektronischer Form), die nicht mehr benötigt werden, sind gemäß den Behandlungsanweisungen und den einschlägigen Archivierungsvorschriften zu vernichten oder zu löschen. 85. Als TRES SECRET UE/EU TOP SECRET oder SECRET UE/EU SECRET oder gleichwertig eingestufte Informationen werden vom Referat Verschlusssachen vernichtet. Ihre Vernichtung erfolgt in Anwesenheit eines Zeugen, der mindestens der Sicherheitsüberprüfung unterzogen wurde, die dem für die vernichteten Informationen geltenden Geheimhaltungsgrad entspricht. 86. Als TRES SECRET UE/EU TOP SECRET oder gleichwertig eingestufte Informationen werden nur mit vorheriger schriftlicher Zustimmung des Urhebers vernichtet. 87. Als CONFIDENTIEL UE/EU CONFIDENTIAL, SECRET UE/EU SECRET oder TRÈS SECRET UE/EU TOP SECRET oder gleichwertig eingestufte Informationen werden auf Anweisung des Urhebers oder einer zuständigen Behörde vom Referat Verschlusssachen vernichtet und entsorgt. Die Dienstbücher und sonstigen Register werden entsprechend aktualisiert. Als RESTREINT UE/EU RESTRICTED oder gleichwertig eingestufte Informationen werden vom Referat Verschlusssachen oder von dem betreffenden parlamentarischen Organ bzw. Amtsträger vernichtet und entsorgt. 88. Der für die Vernichtung verantwortliche Beamte und die die Vernichtung bezeugende Person unterschreiben eine Vernichtungsbescheinigung, die im Referat Verschlusssachen abgelegt und archiviert wird. Das Referat Verschlusssachen bewahrt die Vernichtungsbescheinigungen bei als TRES SECRET UE/EU TOP SECRET oder gleichwertig eingestuften Informationen mindestens zehn Jahre lang und bei als SECRET UE/EU SECRET oder gleichwertig und CONFIDENTIEL UE/EU CONFIDENTIAL oder gleichwertig eingestuften Informationen mindestens fünf Jahre lang zusammen mit den Verteilungsunterlagen auf. 89. Dokumente, die Verschlusssachen enthalten, werden nach Verfahren vernichtet, die den einschlägigen EU-Normen oder gleichwertigen Normen entsprechen, damit einer vollständigen oder teilweisen Wiederherstellung vorgebeugt wird. 90. Die Vernichtung elektronischer Datenträger, die für Verschlusssachen verwendet wurden, erfolgt gemäß den entsprechenden Behandlungsanweisungen. 91. Die Vernichtung von Verschlusssachen wird in dem entsprechenden Dienstbuch zusammen mit den folgenden Angaben erfasst: a) Datum und Uhrzeit der Vernichtung, b) Name des für die Vernichtung zuständigen Beamten, c) Identifizierung des vernichteten Dokuments bzw. der vernichteten Kopien, d) ursprüngliche materielle Form der vernichteten EU-Verschlusssache, e) Art der Vernichtung und f) Ort der Vernichtung. M. ARCHIVIERUNG 92. Verschlusssachen, auch Übermittlungsvermerke oder Begleitschreiben, Anlagen, Empfangsbestätigungen und/oder andere Teile des Dossiers, sind sechs Monate nach der letzten Einsichtnahme oder spätestens ein Jahr, nachdem sie abgelegt wurden, in das gesicherte Archiv im gesicherten Bereich zu verbringen. Die Vorschriften, die für die Archivierung von Verschlusssachen im Einzelnen gelten, werden in den Behandlungsanweisungen festgelegt. 93. Für sonstige vertrauliche Informationen gelten unbeschadet etwaiger anderer Sonderbestimmungen für den Umgang mit diesen Informationen die allgemeinen Bestimmungen für die Verwaltung von Dokumenten. SICHERHEITSHINWEIS 3 DIE VERARBEITUNG VERTRAULICHER INFORMATIONEN DURCH AUTOMATISIERTE KOMMUNIKATIONS- UND INFORMATIONSSYSTEME A. INFORMATIONSSICHERUNG VON VERSCHLUSSSACHEN, DIE IN INFORMATIONSSYSTEMEN BEHANDELT WERDEN 1. Informationssicherung (Information Assurance, IA) im Bereich von Informationssystemen beinhaltet das Vertrauen darauf, dass die in diesen Systemen behandelten Verschlusssachen geschützt sind und dass diese Systeme unter der Kontrolle rechtmäßiger Nutzer jederzeit ordnungsgemäß funktionieren. Eine effektive Informationssicherung stellt ein angemessenes Niveau der Vertraulichkeit, Integrität, Verfügbarkeit, Beweisbarkeit und Authentizität sicher. Die Informationssicherung stützt sich auf einen Risikomanagementprozess. 2. Bei einem Kommunikations- und Informationssystem für die Behandlung von Verschlusssachen handelt es sich um ein System, das die Handhabung von Verschlusssachen in elektronischer Form ermöglicht. Zu einem solchen Informationssystem gehören sämtliche für seinen Betrieb benötigten Voraussetzungen, einschließlich der Infrastruktur, der Organisation, des Personals und der Informationsressourcen. 3. Mit einem Kommunikations- und Informationssystem werden Verschlusssachen im Einklang mit dem Konzept der Informationssicherung behandelt. 4. Kommunikations- und Informationssysteme werden einem Akkreditierungsverfahren unterzogen. Mit der Akkreditierung wird bezweckt, Gewissheit darüber zu erlangen, dass alle angemessenen Sicherheitsmaßnahmen durchgeführt worden sind und dass ein ausreichender Schutz der Verschlusssachen und der Kommunikations- und Informationssysteme gemäß diesem Sicherheitshinweis erreicht wird. In der Akkreditierungserklärung wird festgelegt, bis zu welchem Geheimhaltungsgrad und unter welchen Voraussetzungen Verschlusssachen in Kommunikations- und Informationssystemen behandelt werden dürfen. 5. Die folgenden Eigenschaften und Konzepte der Informationssicherung sind für die Sicherheit und die ordnungsgemäße Durchführung von Operationen in Kommunikations- und Informationssystemen unerlässlich: a) Authentizität: die Garantie, dass die Informationen echt sind und aus Bona-fide-Quellen stammen; b) Verfügbarkeit: der Umstand, dass die Informationen auf Anfrage einer befugten Stelle verfügbar und nutzbar sind; c) Vertraulichkeit: der Umstand, dass die Informationen nicht gegenüber unbefugten Personen, Stellen oder Verarbeitungsprozessen offengelegt werden darf; d) Integrität: der Umstand, dass die Genauigkeit und die Vollständigkeit der Informationen und Werte gewährleistet sind; e) Beweisbarkeit: die Möglichkeit des Nachweises, dass ein Vorgang oder ein Ereignis stattgefunden hat, um die Möglichkeit auszuschließen, dass dieser Vorgang oder dieses Ereignis nachträglich abgestritten werden kann. B. GRUNDSÄTZE DER INFORMATIONSSICHERUNG 6. Die nachstehenden Bestimmungen sind Ausgangsbasis für die Sicherheit von Kommunikations- und Informationssystemen, in denen Verschlusssachen behandelt werden. Detaillierte Anforderungen zur Durchführung dieser Bestimmungen werden in Sicherheitskonzepten und Sicherheitsleitlinien für Informationssicherung festgelegt. B.1. Sicherheitsrisikomanagement 7. Sicherheitsrisikomanagement ist ein integraler Bestandteil der Konzeption, der Entwicklung, des Betriebs und der Wartung von Kommunikations- und Informationssystemen. Das Risikomanagement (Bewertung, Behandlung, Akzeptanz und Kommunikation) wird als fortlaufender Prozess gemeinsam von den in Sicherheitshinweis 1 festgelegten Vertretern der Systemeigner, den für ein Projekt zuständigen Stellen, den für den Betrieb zuständigen Stellen und den Sicherheits-Zulassungsstellen durchgeführt; dabei wird ein bewährtes, transparentes und verständliches Risikobewertungsverfahren durchgeführt. Der Umfang des Kommunikations- und Informationssystems und seine Werte müssen gleich zu Beginn des Risikomanagementprozesses klar umrissen sein. 8. Die in Sicherheitshinweis 1 festgelegten zuständigen Stellen müssen die potenziellen Bedrohungen für Kommunikations- und Informationssysteme überprüfen und über stets aktuelle und genaue Risikobewertungen entsprechend dem jeweiligen betrieblichen Umfeld verfügen. Sie halten ihre Kenntnisse über potenzielle Schwachstellen stets auf dem neuesten Stand und überprüfen regelmäßig die Bewertung der Schwachstellen, um den sich ändernden IT-Gegebenheiten Rechnung zu tragen. 9. Das Ziel bei der Sicherheitsrisikobehandlung muss darin bestehen, ein Paket von Sicherheitsmaßnahmen anzuwenden, die zu einer zufriedenstellenden Ausgewogenheit zwischen den Anforderungen der Nutzer, den Kosten und dem Sicherheitsrestrisiko führen. 10. Zur Akkreditierung eines Kommunikations- und Informationssystems gehören eine förmliche Erklärung zum Restrisiko und die Akzeptanz des Restrisikos durch eine zuständige Stelle. Die spezifischen Anforderungen, der Maßstab und Grad der Detaillierung, die von der einschlägigen SAA zur Akkreditierung eines Kommunikations- und Informationssystems festgelegt werden, müssen dem festgestellten Risiko entsprechen; dabei ist allen relevanten Faktoren Rechnung zu tragen, darunter dem Geheimhaltungsgrad der Verschlusssachen, die in dem Kommunikations- und Informationssystem behandelt werden. B.2. Sicherheit während des gesamten Lebenszyklus eines Kommunikations- und Informationssystems 11. Die Gewährleistung der Sicherheit ist während des gesamten Lebenszyklus eines Kommunikations- und Informationssystems ab der Einführung bis zur Außerbetriebstellung erforderlich. 12. Die Rolle aller an einem Kommunikations- und Informationssystem Beteiligten und deren Interaktion hinsichtlich der Sicherheit des Systems werden für jede Phase des Lebenszyklus definiert. 13. Ein Kommunikations- und Informationssystem einschließlich seiner technischen und nicht technischen Sicherheitsmaßnahmen wird während des Akkreditierungsverfahrens Sicherheitsprüfungen unterzogen, damit gewährleistet ist, dass das erforderliche Sicherheitsniveau erreicht wird, und damit geprüft wird, dass das Kommunikations- und Informationssystem einschließlich seiner technischen und nicht technischen Sicherheitsmaßnahmen korrekt implementiert, integriert und konfiguriert wird. 14. Sicherheitsbewertungen, -inspektionen und -überprüfungen werden während des Betriebs eines Kommunikations- und Informationssystems und während Wartungsarbeiten in regelmäßigen Abständen sowie im Falle außergewöhnlicher Umstände durchgeführt. 15. Die Sicherheitsdokumentation für ein Kommunikations- und Informationssystem wird während dessen Lebenszyklus weiterentwickelt als integraler Bestandteil des Prozesses eines Änderungs- und Konfigurationsmanagements. 16. Die von einem Kommunikations- und Informationssystem durchgeführten Registrierungsverfahren werden, soweit erforderlich, als Teil des Akkreditierungsverfahrens überprüft. B.3. Optimale Vorgehensweisen 17. Die IAA entwickelt optimale Vorgehensweisen für den Schutz von Verschlusssachen, die von einem Kommunikations- und Informationssystem behandelt werden. Leitlinien zu optimalen Vorgehensweisen enthalten Sicherheitsmaßnahmen in den Bereichen Technik, materieller Geheimschutz, Organisation und Verfahren für Kommunikations- und Informationssysteme, deren Effizienz bei der Abwehr von Bedrohungen und der Behebung von Schwachstellen belegt ist. 18. Für den Schutz von Verschlusssachen, die von Kommunikations- und Informationssystemen behandelt werden, sind die Erfahrungen derjenigen Stellen, die im Bereich Informationssicherung tätig sind, heranzuziehen. 19. Die Verbreitung und anschließende Anwendung optimaler Vorgehensweisen soll dazu beitragen, dass ein gleichwertiges Sicherheitsniveau für die verschiedenen, vom Sekretariat des Parlaments betriebenen Kommunikations- und Informationssysteme erreicht wird, in denen Verschlusssachen behandelt werden. B.4. Mehrschichtige Sicherheit 20. Um das Risiko bei Kommunikations- und Informationssystemen zu verringern, wird eine Reihe von technischen und nicht technischen Sicherheitsmaßnahmen in Form eines mehrschichtigen Abwehrsystems durchgeführt. Dazu gehören: a) Abschreckung: Sicherheitsmaßnahmen, mit denen darauf abgezielt wird, Gegner von einer Planung von Angriffen auf ein Kommunikations- und Informationssystem abzuhalten; b) Prävention: Sicherheitsmaßnahmen, mit denen darauf abgezielt wird, einen Angriff auf ein Kommunikations- und Informationssystem zu verhindern oder abzublocken; c) Erkennung: Sicherheitsmaßnahmen, mit denen darauf abgezielt wird, einen Angriff auf ein Kommunikations- und Informationssystem zu erkennen; d) Widerstandsfähigkeit: Sicherheitsmaßnahmen, mit denen darauf abgezielt wird, die Auswirkungen eines Angriffes auf möglichst wenige Informationen oder Werte eines Kommunikations- und Informationssystems zu begrenzen und weiteren Schaden zu verhindern, und e) Wiederherstellung: Sicherheitsmaßnahmen, mit denen darauf abgezielt wird, für ein Kommunikations- und Informationssystem eine Situation der Sicherheit wiederherzustellen. Wie streng diese Sicherheitsmaßnahmen zu sein haben, wird durch eine Risikobewertung bestimmt. 21. Die in Sicherheitshinweis 1 festgelegten zuständigen Behörden tragen dafür Sorge, dass sie auf Zwischenfälle, die die Grenzen einer Organisation überschreiten können, dahingehend reagieren können, dass sie die Reaktionen koordinieren und Informationen über diese Zwischenfälle und damit zusammenhängende Risikokonstellationen austauschen (Computer-Notfall-Reaktionsfähigkeit). B.5. Minimalitätsprinzip und Prinzip der minimalen Zugriffsrechte 22. Um unnötige Risiken zu vermeiden werden nur die für die operativen Anforderungen unbedingt notwendigen Funktionen, Geräte und Dienste implementiert. 23. Nutzer von Kommunikations- und Informationssystemen und automatisierten Verfahrensabläufen erhalten nur den Zugang, die Berechtigung oder die Genehmigungen, die für die Erfüllung ihrer Aufgaben erforderlich sind, damit der Schaden, der durch Zwischenfälle, Fehler oder die unbefugte Nutzung von Ressourcen eines Kommunikations- und Informationssystems entstehen kann, begrenzt wird. B.6. Sensibilisierung in Bezug auf Informationssicherung 24. Sensibilisierung für die Risiken und die zur Verfügung stehenden Sicherheitsmaßnahmen ist die erste Verteidigungslinie in Bezug auf die Sicherheit von Kommunikations- und Informationssystemen. Insbesondere sollte sich das gesamte Personal, das mit einem Kommunikations- und Informationssystem während dessen Lebenszyklus befasst ist, einschließlich der Nutzer, über Folgendes bewusst sein: a) Sicherheitslücken können Kommunikations- und Informationssystemen, in denen Verschlusssachen behandelt werden, erheblich schaden; b) aus einer Vernetzung und Verflechtung kann sich potenzieller Schaden für andere ergeben; c) sie sind persönlich für die Sicherheit eines Kommunikations- und Informationssystems entsprechend ihrer konkreten Aufgabe innerhalb des Systems und bei den Prozessen verantwortlich und dafür rechenschaftspflichtig. 25. Damit sichergestellt ist, dass die Verantwortlichkeiten für die Sicherheit bekannt sind, müssen Schulung und Sensibilisierung in Bezug auf Informationssicherung für das gesamte beteiligte Personal, einschließlich des Führungspersonals, die Mitglieder des Europäischen Parlaments und die Nutzer von Kommunikations- und Informationssystemen obligatorisch sein. B.7. Evaluierung und Zulassung von IT-Sicherheitsprodukten 26. Kommunikations- und Informationssysteme, in denen als CONFIDENTIEL UE/EU CONFIDENTIAL, SECRET UE/EU SECRET oder TRÈS SECRET UE/EU TOP SECRET oder gleichwertig eingestufte Verschlusssachen behandelt werden, werden so geschützt, dass von Informationen nicht über unbeabsichtigte elektromagnetische Abstrahlung unbefugt Kenntnis genommen werden kann („TEMPEST-Sicherheitsvorkehrungen“). 27. Wird der Schutz von Verschlusssachen mit kryptografischen Produkten sichergestellt, so sind diese Produkte von der SAA als unter die EU-weit zugelassenen kryptografischen Produkte fallend zu zertifizieren. 28. Bei der Übermittlung von Verschlusssachen auf elektronischem Wege werden EU-weit zugelassene kryptografische Produkte verwendet. Ungeachtet dieser Anforderung können in Notsituationen nach Maßgabe der Nummern 41 bis 44 spezielle Verfahren oder spezielle technische Konfigurationen angewendet werden. 29. Das erforderliche Maß an Vertrauen in die Sicherheitsmaßnahmen, das als Niveau der Vertrauenswürdigkeit definiert wird, wird aufgrund der Ergebnisse des Risikomanagementprozesses und entsprechend den einschlägigen Sicherheitskonzepten und -leitlinien bestimmt. 30. Das Vertrauenswürdigkeitsniveau wird geprüft, indem international anerkannte oder national genehmigte Verfahren und Methoden angewandt werden. Dazu gehören in erster Linie Evaluierung, Kontrollen und Betriebsanalysen. 31. Die SAA billigt Sicherheitsleitlinien in Bezug auf die Eignung und Zulassung von nicht-kryptografischen IT-Sicherheitsprodukten. B.8. Übermittlung innerhalb abgesicherter Bereiche 32. Wenn Verschlusssachen innerhalb abgesicherter Bereiche übermittelt werden, kann eine nicht verschlüsselte Verteilung oder eine Verschlüsselung auf einer niedrigeren Stufe unter Zugrundelegung der Ergebnisse eines Risikomanagementprozesses und vorbehaltlich der Zustimmung der SAA erfolgen. B.9. Sichere Zusammenschaltung von Kommunikations- und Informationssystemen 33. Eine Systemzusammenschaltung ist die direkte Verbindung von zwei oder mehr IT-Systemen für die gemeinsame Nutzung von Daten und anderen Informationsressourcen; die Verbindung kann unidirektional oder multidirektional sein. 34. Ein Kommunikations- und Informationssystem muss jedes angeschlossene IT-System zunächst als nicht vertrauenswürdig behandeln und Schutzmaßnahmen durchführen, um den Austausch von Verschlusssachen mit anderen Kommunikations- und Informationssystemen zu kontrollieren. 35. Bei der Zusammenschaltung eines Kommunikations- und Informationssystems mit einem anderen IT-System müssen stets die folgenden grundlegenden Anforderungen erfüllt sein: a) die betrieblichen und operativen Anforderungen für solche Zusammenschaltungen müssen von den zuständigen Stellen bekannt gegeben und genehmigt werden; b) die betreffende Zusammenschaltung ist einem Risikomanagement- und Akkreditierungsverfahren zu unterziehen und bedarf der Genehmigung durch die zuständige SAA; c) Dienste für den Schutz von Systemübergängen werden an der Peripherie von Kommunikations- und Informationssystemen implementiert. 36. Es darf keine Zusammenschaltung zwischen einem akkreditierten Kommunikations- und Informationssystem und einem ungeschützten oder öffentlichen Netz geben, außer wenn das Kommunikations- und Informationssystem über zugelassene Dienste für den Schutz von Systemübergängen verfügt, die zu diesem Zweck zwischen dem Kommunikations- und Informationssystem und dem ungeschützten oder öffentlichen Netz installiert wurden. Die Sicherheitsmaßnahmen für eine derartige Zusammenschaltung werden von der zuständigen Stelle für Informationssicherung überprüft und von der zuständigen SAA genehmigt. 37. Wenn das ungeschützte oder öffentliche Netz lediglich als Träger verwendet wird und die Daten durch ein gemäß Nummer 27 EU-weit zertifiziertes kryptografisches Produkt verschlüsselt werden, gilt eine derartige Verbindung nicht als Zusammenschaltung. 38. Die direkte oder kaskadierte Zusammenschaltung eines Kommunikations- und Informationssystems, das für die Behandlung von Verschlusssachen des Geheimhaltungsgrads TRES SECRET UE/EU TOP SECRET oder eines gleichwertigen Geheimhaltungsgrads und Verschlusssachen des Geheimhaltungsgrads SECRET UE/EU SECRET oder eines gleichwertigen Geheimhaltungsgrads akkreditiert ist, mit einem ungeschützten oder öffentlichen Netz ist untersagt. B.10. Elektronische Datenträger 39. Die Vernichtung elektronischer Datenträger erfolgt nach Verfahren, die von der zuständigen Sicherheitsbehörde genehmigt wurden. 40. Elektronische Datenträger werden nach Maßgabe der Behandlungsanweisungen wiederverwendet, herabgestuft oder freigegeben. B.11. Notsituationen 41. In einer Notsituation wie beispielsweise drohenden oder bereits eingetretenen Krisen-, Konflikt- oder Kriegssituationen oder im Fall besonderer operativer Umstände können die nachstehend beschriebenen besonderen Verfahren angewandt werden. 42. Verschlusssachen können mit Zustimmung der zuständigen Behörde mit Hilfe kryptografischer Produkte, die für einen niedrigeren Geheimhaltungsgrad zugelassen sind, oder unverschlüsselt übermittelt werden, wenn eine Verzögerung einen Schaden verursachen würde, der deutlich größer wäre als der Schaden, der durch eine Preisgabe des als Verschlusssache eingestuften Materials entstehen würde, und wenn a) Absender und Empfänger nicht die erforderliche Verschlüsselungseinrichtung oder gar keine Verschlüsselungseinrichtung haben; b) das als Verschlusssache eingestufte Material nicht rechtzeitig auf anderem Wege übermittelt werden kann. 43. Verschlusssachen, die unter den unter Nummer 41 erläuterten Umständen übermittelt werden, sind nicht mit Kennzeichnungen oder Angaben zu versehen, die sie von nicht als Verschlusssache eingestuften Informationen oder solchen unterscheiden, die mit einem zur Verfügung stehenden kryptografischen Produkt geschützt werden können. Die Empfänger werden auf anderem Weg unverzüglich über den Geheimhaltungsgrad unterrichtet. 44. Wird gemäß Nummer 41 oder Nummer 42 Buchstabe a vorgegangen, ist der zuständigen Behörde und dem Sicherheitsausschuss anschließend Bericht zu erstatten. SICHERHE