Beschluss des Hohen Vertreters der Union für Außen- und Sicherheitspolitik vom 19. Juni 2023 über die Sicherheitsvorschriften für den Europäischen Auswärtigen Dienst 2023/C 263/04

Durchsuchbarer Text in vereinfachter Darstellung. Tabellen, Abbildungen und verbindliche Gestaltung bitte anhand der Originaldateien prüfen.

isation Verschlusssachen, die grundsätzlich höchstens in den Geheimhaltungsgrad „RESTREINT UE/EU RESTRICTED“ eingestuft sind, austauscht, und wenn festgestellt wird, dass die betreffende Vertragspartei nicht über ein ausreichend entwickeltes Sicherheitssystem verfügt, um ein Geheimschutzabkommen abschließen zu können, kann der Hohe Vertreter nach einstimmiger befürwortender Stellungnahme des Sicherheitsausschusses des EAD nach Artikel 15 Absatz 5 dieses Beschlusses eine Verwaltungsvereinbarung mit den zuständigen Sicherheitsbehörden des betreffenden Drittstaats oder der betreffenden internationalen Organisation schließen. 5. EU-VS werden nicht auf elektronischem Wege mit einem Drittstaat oder einer internationalen Organisation ausgetauscht, es sei denn, dies ist in dem Geheimschutzabkommen oder der Verwaltungsvereinbarung ausdrücklich vorgesehen. 6. Nach Maßgabe einer Verwaltungsvereinbarung über den Austausch von Verschlusssachen benennen der EAD und der betreffende Drittstaat bzw. die betreffende internationale Organisation ein Register, das als zentrale Stelle für den Ein- und Ausgang der ausgetauschten Verschlusssachen dient. Für den EAD ist dies das EAD-Zentralregister. 7. Verwaltungsvereinbarungen werden in der Regel in Form eines Briefwechsels geschlossen. III. BEWERTUNGSBESUCHE 8. Bewertungsbesuche gemäß Artikel 17 dieses Beschlusses werden im gegenseitigen Einvernehmen mit dem betreffenden Drittstaat bzw. der betreffenden internationalen Organisation durchgeführt und dienen zur Bewertung a) des für den Schutz von Verschlusssachen geltenden Rechtsrahmens; b) etwaiger besonderer Merkmale der Sicherheitsgesetze, -vorschriften, -strategien oder -verfahren des Drittstaates bzw. der internationalen Organisationen, die sich auf den höchsten Geheimhaltungsgrad der Verschlusssachen, die ausgetauscht werden dürfen, auswirken könnten, c) der derzeit zum Schutz von Verschlusssachen geltenden Sicherheitsmaßnahmen und -verfahren und d) der Verfahren für die Sicherheitsüberprüfung von Personal für den Geheimhaltungsgrad der EU-VS, die weitergegeben werden sollen. 9. EU-Verschlusssachen dürfen nicht ausgetauscht werden, bevor ein Bewertungsbesuch durchgeführt und auf der Grundlage der Gleichwertigkeit des gewährten Schutzniveaus die Ebene bestimmt wurde, auf der Verschlusssachen zwischen den Vertragsparteien ausgetauscht werden dürfen. Wenn dem Hohen Vertreter noch vor einem solchen Bewertungsbesuch außergewöhnliche oder dringende Gründe für den Austausch von Verschlusssachen zur Kenntnis gebracht werden, a) holt die Sicherheitsbehörde des EAD die schriftliche Zustimmung des Herausgebers ein, um auszuschließen, dass es Gründe für die Nichtweitergabe der Verschlusssachen gibt, b) kann die Sicherheitsbehörde des EAD die Weitergabe der Verschlusssachen beschließen, sofern die im Sicherheitsausschuss des EAD vertretenen Mitgliedstaaten diesbezüglich einstimmig eine befürwortende Stellungnahme abgegeben haben. Wenn der EAD den Herausgeber nicht ermitteln kann, übernimmt die Sicherheitsbehörde des EAD die Verantwortung des Herausgebers, nachdem sie die einstimmige befürwortende Stellungnahme des Sicherheitsausschusses des EAD eingeholt hat. IV. BEFUGNIS ZUR WEITERGABE VON EU-VS AN DRITTSTAATEN ODER INTERNATIONALE ORGANISATIONEN 10. Besteht bereits ein Rahmen für den Austausch von Verschlusssachen mit einem Drittstaat oder einer internationalen Organisation gemäß Anhang A Artikel 10 Absatz 1, so wird die Entscheidung zur Weitergabe von EU-VS an einen Drittstaat oder eine internationale Organisation durch den EAD von der Sicherheitsbehörde des EAD getroffen. 11. Handelt es sich beim Herausgeber der weiterzugebenden Verschlusssachen, einschließlich der Herausgeber des möglicherweise darin enthaltenen Quellenmaterials, nicht um den EAD, so holt die Sicherheitsbehörde des EAD zunächst die schriftliche Zustimmung des Herausgebers ein, um auszuschließen, dass Gründe für die Nichtweitergabe der Verschlusssachen bestehen. Kann der EAD den Herausgeber nicht ermitteln, so übernimmt die Sicherheitsbehörde des EAD die Verantwortung des Herausgebers, nachdem sie die einstimmige befürwortende Stellungnahme der im Sicherheitsausschuss des EAD vertretenen Mitgliedstaaten eingeholt hat. V. AD-HOC-WEITERGABE VON EU-VERSCHLUSSSACHEN IN AUSNAHMEFÄLLEN 12. Wenn kein Rahmen gemäß Anhang A Artikel 10 Absatz 1 vorgegeben ist und die Weitergabe von EU-VS aus politischen, operativen oder dringenden Gründen im Interesse der EU oder eines oder mehrerer ihrer Mitgliedstaaten ist, können EU-VS ausnahmsweise an einen Drittstaat oder eine internationale Organisation weitergegeben werden, sobald die nachfolgend beschriebenen Schritte erfolgt sind. Nachdem die Sicherheitsbehörde des EAD sichergestellt hat, dass die Bedingungen nach Nummer 11 erfüllt sind, geht sie folgendermaßen vor: a) Sie vergewissert sich, soweit möglich, zusammen mit den Sicherheitsbehörden des betreffenden Drittstaats oder der betreffenden internationalen Organisation, dass dessen bzw. deren Sicherheitsvorschriften, -strukturen und -verfahren so beschaffen sind, dass sie die Gewähr dafür bieten, dass die an ihn bzw. sie weitergegebenen EU-VS nach Maßgabe von Standards geschützt sind, die nicht weniger streng als die in diesem Beschluss festgelegten Standards sind. b) Sie ersucht den Sicherheitsausschuss des EAD, anhand der verfügbaren Informationen eine Stellungnahme dazu abzugeben, wie vertrauenswürdig die Sicherheitsvorschriften, -strukturen und -verfahren des Drittstaats bzw. der internationalen Organisation sind, an den/die die EU-VS weitergegeben werden sollen. c) Sie kann die Weitergabe der Verschlusssachen beschließen, sofern die im Sicherheitsausschuss des EAD vertretenen Mitgliedstaaten einstimmig eine befürwortende Stellungnahme dazu abgegeben haben. 13. Wenn kein Rahmen gemäß Anhang A Artikel 10 Absatz 1 vorgegeben ist, verpflichtet sich der betreffende Dritte schriftlich zum angemessenen Schutz von EU-VS. Anlage A BEGRIFFSBESTIMMUNGEN Für die Zwecke dieses Beschlusses bezeichnet der Ausdruck (a) „Akkreditierung“ das Verfahren, das zu einer förmlichen Erklärung der Sicherheits-Akkreditierungsstelle (Security Accreditation Authority – SAA) führt, wonach ein System für den Betrieb mit einem definierten Geheimhaltungsgrad, in einem bestimmten Sicherheitsmodus in seiner Betriebsumgebung und bei einem akzeptablen Risikoniveau unter der Voraussetzung zugelassen wird, dass ein zugelassenes Bündel von Sicherheitsmaßnahmen in den Bereichen Technik, materieller Schutz, Organisation und Verfahren durchgeführt wird; (b) „Wert“ alles, was für eine Organisation, ihre Tätigkeiten und deren Kontinuität von Nutzen ist, einschließlich der Informationsressourcen, auf die sich die Organisation bei der Wahrnehmung ihrer Aufgaben stützt; (c) „Ermächtigung zum Zugang zu EU-VS“ eine Ermächtigung durch die Sicherheitsbehörde des EAD, die gemäß diesem Beschluss nach Ausstellung einer PSC durch die zuständigen Behörden eines Mitgliedstaats erteilt wird und mit der bescheinigt wird, dass einer Person, die nachweislich Kenntnis von Verschlusssachen haben muss, im Einklang mit Anhang A I Artikel 2 bis zu einem bestimmten Datum Zugang zu EU-VS bis zu einem bestimmten Geheimhaltungsgrad („CONFIDENTIEL UE/EU CONFIDENTIAL“ oder höher) gewährt werden kann; (d) „Verletzung“ eine Handlung oder Unterlassung seitens einer Person, die den in diesem Beschluss festgelegten Sicherheitsvorschriften und/oder den zu seiner Umsetzung notwendigen Sicherheitskonzepten oder -leitlinien zuwiderläuft; (e) „Lebenszyklus eines Kommunikations- und Informationssystems“ die gesamte Lebensdauer eines Kommunikations- und Informationssystems, die Initiierung, Konzeption, Planung, Anforderungsanalyse, Entwurf, Entwicklung, Erprobung, Implementierung, Betrieb, Wartung und Außerbetriebnahme umfasst; (f) „als Verschlusssache eingestufter Auftrag“ einen Vertrag zwischen dem EAD und einem Auftragnehmer über die Lieferung von Waren, die Durchführung von Arbeiten oder die Erbringung von Dienstleistungen, dessen Ausführung den Zugang zu oder die Erstellung von EU-VS erfordert oder mit sich bringt; (g) „als Verschlusssache eingestufter Unterauftrag“ einen Vertrag zwischen einem Auftragnehmer des EAD und einem anderen Auftragnehmer (d. h. dem Unterauftragnehmer) über die Lieferung von Waren, die Durchführung von Arbeiten oder die Erbringung von Dienstleistungen, dessen Ausführung den Zugang zu oder die Erstellung von EU-VS erfordert oder mit sich bringt; (h) „Kommunikations- und Informationssystem“ ein System, das die Bearbeitung von Informationen in elektronischer Form ermöglicht. Zu einem Kommunikations- und Informationssystem gehören sämtliche für seinen Betrieb benötigten Werte, einschließlich der Infrastruktur, der Organisation, des Personals und der Informationsressourcen; (i) „Kenntnisnahme von EU-VS durch Unbefugte“ die vollständige oder teilweise Offenlegung von EU-VS gegenüber nicht ermächtigten Personen oder Stellen — siehe Artikel 9 Absatz 2; (j) „Auftragnehmer“ eine Einzelperson oder Rechtsperson, die geschäftsfähig ist; (k) „kryptografische Produkte“ kryptografische Algorithmen, kryptografische Hardware- und Softwaremodule und Produkte, die Implementierungsdetails enthalten, sowie die dazugehörige Dokumentation und das Verschlüsselungsmaterial; (l) „GSVP-Operation“ eine militärische oder zivile Krisenbewältigungsoperation nach Titel V Kapitel 2 EUV; (m) „Aufhebung der Geheimhaltungsgrads“ die Löschung jeder Geheimhaltungskennzeichnung; (n) „mehrschichtige Sicherheit“ die Anwendung einer Reihe von Sicherheitsmaßnahmen in Form eines mehrschichtigen Abwehrsystems; (o) „beauftragte Sicherheitsbehörde“ eine Behörde, die gegenüber der nationalen Sicherheitsbehörde eines Mitgliedstaats für die Unterrichtung industrieller oder anderer Unternehmen über die nationale Politik in allen Fragen des gewerblichen Geheimschutzes und für Weisungen und Unterstützung bei dessen Umsetzung verantwortlich ist. Die Funktion der beauftragten Sicherheitsbehörde kann von der nationalen Sicherheitsbehörde oder einer anderen zuständigen Behörde wahrgenommen werden; (p) „Dokument“ jede aufgezeichnete Information, unabhängig von ihrer materiellen Form oder ihren Merkmalen; (q) „Herabstufung“ die Einstufung in einen niedrigeren Geheimhaltungsgrad; (r) „EU-Verschlusssachen“ (EU-VS) alle mit einem EU-Geheimhaltungsgrad gekennzeichneten Informationen oder alles mit einem EU-Geheimhaltungsgrad gekennzeichnetes Material, deren bzw. dessen unbefugte Offenlegung den Interessen der Europäischen Union oder eines oder mehrerer ihrer Mitgliedstaaten in unterschiedlichem Maße schaden könnte – siehe Artikel 2 Buchstabe f; (s) „Sicherheitsbescheid für Unternehmen“ (Facility Security Clearance – FSC) die verwaltungsrechtliche Feststellung durch eine nationale Sicherheitsbehörde oder beauftragte Sicherheitsbehörde, dass ein Unternehmen unter dem Gesichtspunkt der Sicherheit ausreichenden Schutz für EU-VS eines bestimmten Geheimhaltungsgrads bietet und dass sein Personal, das Zugang zu EU-VS haben muss, ordnungsgemäß sicherheitsüberprüft ist und über die für den Zugang zu und den Schutz von EU-VS erforderlichen einschlägigen Sicherheitsanforderungen belehrt wurde; (t) „Bearbeitung“ von EU-VS alle möglichen Handlungen, denen EU-VS während der gesamten Dauer ihrer Einstufung als EU-VS unterliegen können. Sie umfasst die Erstellung, Verarbeitung, Beförderung, Herabstufung, Aufhebung des Geheimhaltungsgrads und Zerstörung. In Bezug auf Kommunikations- und Informationssysteme umfasst sie ferner die Sammlung, Darstellung, Übermittlung und Speicherung; (u) „Besitzer“ eine ordnungsgemäß ermächtigte Person, die nachweislich Kenntnis von Verschlusssachen haben muss und die im Besitz einer EU-VS ist und dementsprechend für deren Schutz verantwortlich zeichnet; (v) „industrielles oder anderes Unternehmen“ ein Unternehmen, das an der Lieferung von Waren, der Durchführung von Arbeiten oder der Erbringung von Dienstleistungen beteiligt ist; dabei kann es sich um Industrie-, Handels-, Dienstleistungs-, Wissenschafts-, Forschungs-, Bildungs- oder Entwicklungsunternehmen oder um Personen, die eine selbstständige Tätigkeit ausüben, handeln; (w) „gewerblicher Geheimschutz“ die Anwendung von Maßnahmen, die darauf abzielen, den Schutz von EU-VS durch Auftragnehmer oder Unterauftragnehmer während der Verhandlungen vor der Auftragsvergabe und während der Laufzeit des als Verschlusssache eingestuften Auftrags zu gewährleisten – siehe Anhang A Artikel 9 Absatz 1; (x) „Informationssicherung“ im Bereich von Kommunikations- und Informationssystemen das Vertrauen darauf, dass die in diesen Systemen bearbeiteten Informationen geschützt sind und dass diese Systeme jederzeit ordnungsgemäß funktionieren und von rechtmäßigen Nutzern kontrolliert werden. Eine effektive Informationssicherung stellt ein angemessenes Niveau der Vertraulichkeit, Integrität, Verfügbarkeit, Beweisbarkeit und Authentizität sicher. Die Informationssicherung stützt sich auf einen Prozess des Risikomanagements – siehe Anhang A Artikel 8 Absatz 1; (y) „Zusammenschaltung“ für die Zwecke dieses Beschlusses die direkte Verbindung von zwei oder mehr IT-Systemen zum Zweck der gemeinsamen Nutzung von Daten und anderen Informationsressourcen (beispielsweise Kommunikation); die Verbindung kann unidirektional oder multidirektional sein – siehe Anhang A IV Nummer 31; (z) „Verwaltung von Verschlusssachen“ die Anwendung administrativer Maßnahmen zur Kontrolle von EU-VS während der gesamten Dauer ihrer Einstufung als EU-VS mit dem Ziel, die Maßnahmen nach den Artikeln 5, 6 und 8 zu ergänzen und dadurch dazu beizutragen, die beabsichtigte oder unbeabsichtigte Kenntnisnahme von Verschlusssachen durch Unbefugte sowie den Verlust von Verschlusssachen zu verhindern oder aufzudecken und entsprechende Maßnahmen zur Wiederherstellung der Sicherheit zu treffen. Diese Maßnahmen beziehen sich insbesondere auf die Erstellung, die Registrierung, die Vervielfältigung, die Übersetzung, die Beförderung, die Bearbeitung, die Aufbewahrung und die Vernichtung von EU-VS – siehe Anhang A Artikel 7 Absatz 1; (aa) „Material“ Dokumente, Geräte oder Ausrüstungsgegenstände jeder Art, die bereits hergestellt oder noch in der Herstellung befindlich sind; (bb) „Herausgeber“ das Organ, die Agentur oder die Einrichtung der EU, der Mitgliedstaat, der Drittstaat oder die internationale Organisation, unter dessen/deren Aufsicht Verschlusssachen erstellt und/oder in die Strukturen der EU eingebracht wurden; (cc) „personeller Geheimschutz“ die Anwendung von Maßnahmen, mit denen gewährleistet wird, dass nur Personen Zugang zu EU-VS erhalten, die — Kenntnis von EU-VS haben müssen, — für den Zugang zu als „CONFIDENTIEL UE/EU CONFIDENTIAL“ oder höher eingestuften Verschlusssachen sicherheitsüberprüft oder auf andere Weise aufgrund ihrer Tätigkeit nach Maßgabe der innerstaatlichen Rechtsvorschriften ordnungsgemäß ermächtigt sind und — über ihre Verantwortlichkeiten belehrt worden sind – siehe Anhang A Artikel 5 Absatz 1; (dd) „Erklärung über die Sicherheitsüberprüfung von Personal“ (Personnel Security Clearance – PSC) mit Blick auf den Zugang zu EU-VS eine Erklärung einer zuständigen Behörde eines Mitgliedstaats, die nach Abschluss einer Sicherheitsüberprüfung durch die zuständigen Behörden eines Mitgliedstaats abgegeben wird und mit der bescheinigt wird, dass einer Person, die nachweislich Kenntnis von Verschlusssachen haben muss, bis zu einem bestimmten Datum und bis zu einem bestimmten Geheimhaltungsgrad („CONFIDENTIEL UE/EU CONFIDENTIAL“ oder höher) Zugang zu EU-VS gewährt werden kann; diese Person wird als „sicherheitsüberprüft“ bezeichnet; (ee) „Sicherheitsüberprüfungsbescheinigung“ (Personnel Security Clearance Certificate – PSCC) eine von einer zuständigen Behörde ausgestellte Bescheinigung, in der festgestellt wird, dass eine Person sicherheitsüberprüft ist und eine gültige PSC oder gültige Ermächtigung des Direktors für Sicherheit in der Zentrale und Informationssicherheit im EAD für den Zugang zu EU-VS besitzt, und aus der der Geheimhaltungsgrad („CONFIDENTIEL UE/EU CONFIDENTIAL“ oder höher), bis zu dem der Person Zugang zu EU-VS gewährt werden kann, die Gültigkeitsdauer der betreffenden PSC und das Ablaufdatum der Bescheinigung selbst hervorgehen; (ff) „materieller Geheimschutz“ die Anwendung von physischen und technischen Schutzmaßnahmen zur Verhinderung des unbefugten Zugangs zu EU-VS – siehe Anhang A Artikel 6; (gg) „Sicherheitsanweisung für das Programm/Projekt“ eine Liste von Sicherheitsverfahren, die für ein spezifisches Programm/Projekt verwendet werden, um die Sicherheitsverfahren zu vereinheitlichen. Sie kann im Verlauf des Programms/Projekts überarbeitet werden; (hh) „Registrierung“ die Durchführung von Verfahren, bei denen jede Phase des Lebenszyklus der Informationen, auch deren Verbreitung und Vernichtung, aufgezeichnet wird – siehe Anhang A III Nummer 21; (ii) „Restrisiko“ das nach dem Ergreifen von Sicherheitsmaßnahmen verbleibende Risiko, falls nicht alle Bedrohungen erfasst werden und nicht alle Schwachstellen beseitigt werden können; (jj) „Risiko“ die Möglichkeit, dass bei einer bestimmten Bedrohung die internen und externen Schwachstellen einer Organisation oder eines der von ihr verwendeten Systeme ausgenutzt und dadurch die Organisation und ihre materiellen und immateriellen Werte geschädigt werden. Gemessen wird das Risiko als die Kombination der Wahrscheinlichkeit des Eintretens von Bedrohungen und ihrer Auswirkungen; (kk) „Risikoakzeptanz“ die Hinnahme der Möglichkeit, dass nach der Risikobehandlung ein Restrisiko bleibt; (ll) „Risikobewertung“ die Ermittlung von Bedrohungen und Schwachstellen und die Durchführung diesbezüglicher Risikoanalysen, d. h. die Analyse der Eintrittswahrscheinlichkeit und der Auswirkungen; (mm) „Risikokommunikation“ die Sensibilisierung der Nutzer eines Kommunikations- und Informationssystems für Risiken, die Unterrichtung von Zulassungsstellen über Risiken und die entsprechende Berichterstattung an die für den Betrieb zuständigen Stellen; (nn) „Risikomanagementprozess“ den gesamten Prozess der Ermittlung, Kontrolle und Minimierung möglicher Zwischenfälle, die die Sicherheit einer Organisation oder eines der von ihr benutzten Systeme beeinträchtigen könnten. Darunter fallen sämtliche risikobezogenen Tätigkeiten, einschließlich der Risikobewertung, -behandlung, -akzeptanz und -kommunikation; (oo) „Risikobehandlung“ die Minderung, Beseitigung, Verringerung (durch eine geeignete Kombination von technischen, physischen, organisatorischen oder verfahrenstechnischen Maßnahmen), Übertragung oder Überwachung des Risikos; (pp) „Geheimschutzklausel“ (Security Aspects Letter – SAL) besondere Auftragsbedingungen der Vergabebehörde, die fester Bestandteil eines als Verschlusssache eingestuften und mit dem Zugang zu oder der Erstellung von EU-VS verbundenen Auftrags sind und in denen die Sicherheitsanforderungen oder die sicherheitsschutzbedürftigen Teile des Auftrags festgelegt sind – siehe Anhang A V Abschnitt II; (qq) „VS-Einstufungsliste“ (Security Classification Guide – SCG) ein Dokument, das die als Verschlusssache eingestuften Teile eines Programms oder Auftrags beschreibt und in dem die anzuwendenden Geheimhaltungsgrade angegeben sind. Die VS-Einstufungsliste kann während der Laufzeit des Programms oder Auftrags erweitert werden, und Teile der Informationen können neu eingestuft oder herabgestuft werden; sofern eine VS-Einstufungsliste besteht, bildet sie Teil der Geheimschutzklausel – siehe Anhang A V Abschnitt II; (rr) „Sicherheitsüberprüfung“ ein Untersuchungsverfahren, das von der zuständigen Behörde eines Mitgliedstaats nach den innerstaatlichen Rechtsvorschriften durchgeführt wird, um Gewissheit darüber zu erlangen, dass über die betreffende Person keine nachteiligen Erkenntnisse vorliegen, die der Ausstellung einer nationalen oder einer EU-PSC für den Zugang zu EU-VS bis zu einem bestimmten Geheimhaltungsgrad („CONFIDENTIEL UE/EU CONFIDENTIAL“ oder höher) entgegenstehen würden; (ss) „sicherheitsbezogene Betriebsverfahren“ (Security Operating Procedures – SecOPs) eine Beschreibung des geplanten Sicherheitskonzepts, der Betriebsverfahren und der Zuständigkeit des Personals; (tt) „nicht als VS eingestufte vertrauliche Informationen“ Informationen oder Material, die bzw. das der EAD aufgrund rechtlicher Verpflichtungen aus den Verträgen oder aus zu deren Durchführung erlassenen Rechtsakten und/oder wegen ihrer Vertraulichkeit schützen muss. Zu nicht als VS eingestuften vertraulichen Informationen gehören unter anderem Material oder Informationen, die unter das Berufsgeheimnis gemäß Artikel 339 AEUV fallen, die zu den nach Artikel 4 der Verordnung (EG) Nr. 1049/2001 (1) in Verbindung mit der einschlägigen Rechtsprechung des Gerichtshofs der Europäischen Union geschützten Interessen zu rechnen sind oder die zu den personenbezogenen Daten zählen, die unter die Verordnung (EU) 2018/1725 fallen; (uu) „Aufstellung der systemspezifischen Sicherheitsanforderungen“ (Specific Security Requirement Statement – SSRS) verbindliche Sicherheitsgrundsätze und detaillierte Sicherheitsanforderungen, die als Grundlage für die Zertifizierung und Akkreditierung von Kommunikations- und Informationssystemen dienen; (vv) „TEMPEST“ die Ermittlung, Analyse und Kontrolle kompromittierender elektromagnetischer Abstrahlung und die Vorkehrungen, um diese zu unterdrücken; (ww) „Bedrohung“ eine potenzielle Ursache für einen unerwünschten Vorfall, der bei einer Organisation oder einem der von ihr benutzten Systeme zu Schaden führen kann; solche Bedrohungen können unbeabsichtigt oder beabsichtigt (böswillig) sein und unterscheiden sich nach den Bedrohungselementen, potenziellen Zielen und Angriffsmethoden; (xx) „Schwachstelle“ das Vorliegen einer beliebigen Schwäche, die bei einer oder mehreren Bedrohungen ausgenutzt werden kann. Eine Schwachstelle kann durch ein Versäumnis entstehen oder sie kann sich auf eine Schwäche durch nachlässige, unvollständige oder inkohärente Kontrollen beziehen und kann die Technik, die Verfahren, die materiellen Eigenschaften, die Organisation oder den Betrieb betreffen. (1) Verordnung (EG) Nr. 1049/2001 des Europäischen Parlaments und des Rates vom 30. Mai 2001 über den Zugang der Öffentlichkeit zu Dokumenten des Europäischen Parlaments, des Rates und der Kommission (ABl. L 145 vom 31.5.2001, S. 43). Anlage B Entsprechungstabelle der Geheimhaltungsgrade EU TRÈS SECRET UE/EU TOP SECRET SECRET UE/EU SECRET CONFIDENTIEL UE/EU CONFIDENTIAL RESTREINT UE/EU RESTRICTED EURATOM EURA TOP SECRET EURA SECRET EURA CONFIDENTIAL EURA RESTRICTED Belgien Très Secret (Gesetz vom 11.12.1998) Zeer Geheim (Gesetz vom 11.12.1998) Secret (Gesetz vom 11.12.1998) Geheim (Gesetz vom 11.12.1998) Confidentiel (Gesetz vom 11.12.1998) Vertrouwelijk (Gesetz vom 11.12.1998) Fußnote (1) unten Bulgarien Cтpoгo ceкретно Ceкретно Поверително За служебно ползване Tschechische Republik Přísně tajné Tajné Důvěrné Vyhrazené Dänemark YDERST HEMMELIGT HEMMELIGT FORTROLIGT TIL TJENESTEBRUG Deutschland STRENG GEHEIM GEHEIM VS (2) — VERTRAULICH VS — NUR FÜR DEN DIENSTGEBRAUCH Estland Täiesti salajane Salajane Konfidentsiaalne Piiratud Irland Top Secret Secret Confidential Restricted Griechenland Άκρως Απόρρητο Abk: ΑΑΠ Απόρρητο Abk: (ΑΠ) Εμπιστευτικό Αbk: (ΕΜ) Περιορισμένης Χρήσης Abk: (ΠΧ) Spanien SECRETO RESERVADO CONFIDENCIAL DIFUSIÓN LIMITADA Frankreich TRÈS SECRET TRÈS SECRET