Beschluss des Präsidiums des Europäischen Parlaments vom 15. April 2013 über die Regeln zur Behandlung vertraulicher Informationen durch das Europäische Parlament

Durchsuchbarer Text in vereinfachter Darstellung. Tabellen, Abbildungen und verbindliche Gestaltung bitte anhand der Originaldateien prüfen.

rsonals und der Informationsressourcen. 3. Mit einem Kommunikations- und Informationssystem werden Verschlusssachen im Einklang mit dem Konzept der Informationssicherung behandelt. 4. Kommunikations- und Informationssysteme werden einem Akkreditierungsverfahren unterzogen. Mit der Akkreditierung wird bezweckt, Gewissheit darüber zu erlangen, dass alle angemessenen Sicherheitsmaßnahmen durchgeführt worden sind und dass ein ausreichender Schutz der Verschlusssachen und der Kommunikations- und Informationssysteme gemäß diesem Sicherheitshinweis erreicht wird. In der Akkreditierungserklärung wird festgelegt, bis zu welchem Geheimhaltungsgrad und unter welchen Voraussetzungen Verschlusssachen in Kommunikations- und Informationssystemen behandelt werden dürfen. 5. Die folgenden Eigenschaften und Konzepte der Informationssicherung sind für die Sicherheit und die ordnungsgemäße Durchführung von Operationen in Kommunikations- und Informationssystemen unerlässlich: a) Authentizität: die Garantie, dass die Informationen echt sind und aus Bona-fide-Quellen stammen; b) Verfügbarkeit: der Umstand, dass die Informationen auf Anfrage einer befugten Stelle verfügbar und nutzbar sind; c) Vertraulichkeit: der Umstand, dass die Informationen nicht gegenüber unbefugten Personen, Stellen oder Verarbeitungsprozessen offengelegt werden darf; d) Integrität: der Umstand, dass die Genauigkeit und die Vollständigkeit der Informationen und Werte gewährleistet sind; e) Beweisbarkeit: die Möglichkeit des Nachweises, dass ein Vorgang oder ein Ereignis stattgefunden hat, um die Möglichkeit auszuschließen, dass dieser Vorgang oder dieses Ereignis nachträglich abgestritten werden kann. B. GRUNDSÄTZE DER INFORMATIONSSICHERUNG 6. Die nachstehenden Bestimmungen sind Ausgangsbasis für die Sicherheit von Kommunikations- und Informationssystemen, in denen Verschlusssachen behandelt werden. Detaillierte Anforderungen zur Durchführung dieser Bestimmungen werden in Sicherheitskonzepten und Sicherheitsleitlinien für Informationssicherung festgelegt. B.1. Sicherheitsrisikomanagement 7. Sicherheitsrisikomanagement ist ein integraler Bestandteil der Konzeption, der Entwicklung, des Betriebs und der Wartung von Kommunikations- und Informationssystemen. Das Risikomanagement (Bewertung, Behandlung, Akzeptanz und Kommunikation) wird als fortlaufender Prozess gemeinsam von den in Sicherheitshinweis 1 festgelegten Vertretern der Systemeigner, den für ein Projekt zuständigen Stellen, den für den Betrieb zuständigen Stellen und den Sicherheits-Zulassungsstellen durchgeführt; dabei wird ein bewährtes, transparentes und verständliches Risikobewertungsverfahren durchgeführt. Der Umfang des Kommunikations- und Informationssystems und seine Werte müssen gleich zu Beginn des Risikomanagementprozesses klar umrissen sein. 8. Die in Sicherheitshinweis 1 festgelegten zuständigen Stellen müssen die potenziellen Bedrohungen für Kommunikations- und Informationssysteme überprüfen und über stets aktuelle und genaue Risikobewertungen entsprechend dem jeweiligen betrieblichen Umfeld verfügen. Sie halten ihre Kenntnisse über potenzielle Schwachstellen stets auf dem neuesten Stand und überprüfen regelmäßig die Bewertung der Schwachstellen, um den sich ändernden IT-Gegebenheiten Rechnung zu tragen. 9. Das Ziel bei der Sicherheitsrisikobehandlung muss darin bestehen, ein Paket von Sicherheitsmaßnahmen anzuwenden, die zu einer zufriedenstellenden Ausgewogenheit zwischen den Anforderungen der Nutzer, den Kosten und dem Sicherheitsrestrisiko führen. 10. Zur Akkreditierung eines Kommunikations- und Informationssystems gehören eine förmliche Erklärung zum Restrisiko und die Akzeptanz des Restrisikos durch eine zuständige Stelle. Die spezifischen Anforderungen, der Maßstab und Grad der Detaillierung, die von der einschlägigen SAA zur Akkreditierung eines Kommunikations- und Informationssystems festgelegt werden, müssen dem festgestellten Risiko entsprechen; dabei ist allen relevanten Faktoren Rechnung zu tragen, darunter dem Geheimhaltungsgrad der Verschlusssachen, die in dem Kommunikations- und Informationssystem behandelt werden. B.2. Sicherheit während des gesamten Lebenszyklus eines Kommunikations- und Informationssystems 11. Die Gewährleistung der Sicherheit ist während des gesamten Lebenszyklus eines Kommunikations- und Informationssystems ab der Einführung bis zur Außerbetriebstellung erforderlich. 12. Die Rolle aller an einem Kommunikations- und Informationssystem Beteiligten und deren Interaktion hinsichtlich der Sicherheit des Systems werden für jede Phase des Lebenszyklus definiert. 13. Ein Kommunikations- und Informationssystem einschließlich seiner technischen und nicht technischen Sicherheitsmaßnahmen wird während des Akkreditierungsverfahrens Sicherheitsprüfungen unterzogen, damit gewährleistet ist, dass das erforderliche Sicherheitsniveau erreicht wird, und damit geprüft wird, dass das Kommunikations- und Informationssystem einschließlich seiner technischen und nicht technischen Sicherheitsmaßnahmen korrekt implementiert, integriert und konfiguriert wird. 14. Sicherheitsbewertungen, -inspektionen und -überprüfungen werden während des Betriebs eines Kommunikations- und Informationssystems und während Wartungsarbeiten in regelmäßigen Abständen sowie im Falle außergewöhnlicher Umstände durchgeführt. 15. Die Sicherheitsdokumentation für ein Kommunikations- und Informationssystem wird während dessen Lebenszyklus weiterentwickelt als integraler Bestandteil des Prozesses eines Änderungs- und Konfigurationsmanagements. 16. Die von einem Kommunikations- und Informationssystem durchgeführten Registrierungsverfahren werden, soweit erforderlich, als Teil des Akkreditierungsverfahrens überprüft. B.3. Optimale Vorgehensweisen 17. Die IAA entwickelt optimale Vorgehensweisen für den Schutz von Verschlusssachen, die von einem Kommunikations- und Informationssystem behandelt werden. Leitlinien zu optimalen Vorgehensweisen enthalten Sicherheitsmaßnahmen in den Bereichen Technik, materieller Geheimschutz, Organisation und Verfahren für Kommunikations- und Informationssysteme, deren Effizienz bei der Abwehr von Bedrohungen und der Behebung von Schwachstellen belegt ist. 18. Für den Schutz von Verschlusssachen, die von Kommunikations- und Informationssystemen behandelt werden, sind die Erfahrungen derjenigen Stellen, die im Bereich Informationssicherung tätig sind, heranzuziehen. 19. Die Verbreitung und anschließende Anwendung optimaler Vorgehensweisen soll dazu beitragen, dass ein gleichwertiges Sicherheitsniveau für die verschiedenen, vom Sekretariat des Parlaments betriebenen Kommunikations- und Informationssysteme erreicht wird, in denen Verschlusssachen behandelt werden. B.4. Mehrschichtige Sicherheit 20. Um das Risiko bei Kommunikations- und Informationssystemen zu verringern, wird eine Reihe von technischen und nicht technischen Sicherheitsmaßnahmen in Form eines mehrschichtigen Abwehrsystems durchgeführt. Dazu gehören: a) Abschreckung: Sicherheitsmaßnahmen, mit denen darauf abgezielt wird, Gegner von einer Planung von Angriffen auf ein Kommunikations- und Informationssystem abzuhalten; b) Prävention: Sicherheitsmaßnahmen, mit denen darauf abgezielt wird, einen Angriff auf ein Kommunikations- und Informationssystem zu verhindern oder abzublocken; c) Erkennung: Sicherheitsmaßnahmen, mit denen darauf abgezielt wird, einen Angriff auf ein Kommunikations- und Informationssystem zu erkennen; d) Widerstandsfähigkeit: Sicherheitsmaßnahmen, mit denen darauf abgezielt wird, die Auswirkungen eines Angriffes auf möglichst wenige Informationen oder Werte eines Kommunikations- und Informationssystems zu begrenzen und weiteren Schaden zu verhindern, und e) Wiederherstellung: Sicherheitsmaßnahmen, mit denen darauf abgezielt wird, für ein Kommunikations- und Informationssystem eine Situation der Sicherheit wiederherzustellen. Wie streng diese Sicherheitsmaßnahmen zu sein haben, wird durch eine Risikobewertung bestimmt. 21. Die in Sicherheitshinweis 1 festgelegten zuständigen Behörden tragen dafür Sorge, dass sie auf Zwischenfälle, die die Grenzen einer Organisation überschreiten können, dahingehend reagieren können, dass sie die Reaktionen koordinieren und Informationen über diese Zwischenfälle und damit zusammenhängende Risikokonstellationen austauschen (Computer-Notfall-Reaktionsfähigkeit). B.5. Minimalitätsprinzip und Prinzip der minimalen Zugriffsrechte 22. Um unnötige Risiken zu vermeiden werden nur die für die operativen Anforderungen unbedingt notwendigen Funktionen, Geräte und Dienste implementiert. 23. Nutzer von Kommunikations- und Informationssystemen und automatisierten Verfahrensabläufen erhalten nur den Zugang, die Berechtigung oder die Genehmigungen, die für die Erfüllung ihrer Aufgaben erforderlich sind, damit der Schaden, der durch Zwischenfälle, Fehler oder die unbefugte Nutzung von Ressourcen eines Kommunikations- und Informationssystems entstehen kann, begrenzt wird. B.6. Sensibilisierung in Bezug auf Informationssicherung 24. Sensibilisierung für die Risiken und die zur Verfügung stehenden Sicherheitsmaßnahmen ist die erste Verteidigungslinie in Bezug auf die Sicherheit von Kommunikations- und Informationssystemen. Insbesondere sollte sich das gesamte Personal, das mit einem Kommunikations- und Informationssystem während dessen Lebenszyklus befasst ist, einschließlich der Nutzer, über Folgendes bewusst sein: a) Sicherheitslücken können Kommunikations- und Informationssystemen, in denen Verschlusssachen behandelt werden, erheblich schaden; b) aus einer Vernetzung und Verflechtung kann sich potenzieller Schaden für andere ergeben; c) sie sind persönlich für die Sicherheit eines Kommunikations- und Informationssystems entsprechend ihrer konkreten Aufgabe innerhalb des Systems und bei den Prozessen verantwortlich und dafür rechenschaftspflichtig. 25. Damit sichergestellt ist, dass die Verantwortlichkeiten für die Sicherheit bekannt sind, müssen Schulung und Sensibilisierung in Bezug auf Informationssicherung für das gesamte beteiligte Personal, einschließlich des Führungspersonals, die Mitglieder des Europäischen Parlaments und die Nutzer von Kommunikations- und Informationssystemen obligatorisch sein. B.7. Evaluierung und Zulassung von IT-Sicherheitsprodukten 26. Kommunikations- und Informationssysteme, in denen als CONFIDENTIEL UE/EU CONFIDENTIAL, SECRET UE/EU SECRET oder TRÈS SECRET UE/EU TOP SECRET oder gleichwertig eingestufte Verschlusssachen behandelt werden, werden so geschützt, dass von Informationen nicht über unbeabsichtigte elektromagnetische Abstrahlung unbefugt Kenntnis genommen werden kann („TEMPEST-Sicherheitsvorkehrungen“). 27. Wird der Schutz von Verschlusssachen mit kryptografischen Produkten sichergestellt, so sind diese Produkte von der SAA als unter die EU-weit zugelassenen kryptografischen Produkte fallend zu zertifizieren. 28. Bei der Übermittlung von Verschlusssachen auf elektronischem Wege werden EU-weit zugelassene kryptografische Produkte verwendet. Ungeachtet dieser Anforderung können in Notsituationen nach Maßgabe der Nummern 41 bis 44 spezielle Verfahren oder spezielle technische Konfigurationen angewendet werden. 29. Das erforderliche Maß an Vertrauen in die Sicherheitsmaßnahmen, das als Niveau der Vertrauenswürdigkeit definiert wird, wird aufgrund der Ergebnisse des Risikomanagementprozesses und entsprechend den einschlägigen Sicherheitskonzepten und -leitlinien bestimmt. 30. Das Vertrauenswürdigkeitsniveau wird geprüft, indem international anerkannte oder national genehmigte Verfahren und Methoden angewandt werden. Dazu gehören in erster Linie Evaluierung, Kontrollen und Betriebsanalysen. 31. Die SAA billigt Sicherheitsleitlinien in Bezug auf die Eignung und Zulassung von nicht-kryptografischen IT-Sicherheitsprodukten. B.8. Übermittlung innerhalb abgesicherter Bereiche 32. Wenn Verschlusssachen innerhalb abgesicherter Bereiche übermittelt werden, kann eine nicht verschlüsselte Verteilung oder eine Verschlüsselung auf einer niedrigeren Stufe unter Zugrundelegung der Ergebnisse eines Risikomanagementprozesses und vorbehaltlich der Zustimmung der SAA erfolgen. B.9. Sichere Zusammenschaltung von Kommunikations- und Informationssystemen 33. Eine Systemzusammenschaltung ist die direkte Verbindung von zwei oder mehr IT-Systemen für die gemeinsame Nutzung von Daten und anderen Informationsressourcen; die Verbindung kann unidirektional oder multidirektional sein. 34. Ein Kommunikations- und Informationssystem muss jedes angeschlossene IT-System zunächst als nicht vertrauenswürdig behandeln und Schutzmaßnahmen durchführen, um den Austausch von Verschlusssachen mit anderen Kommunikations- und Informationssystemen zu kontrollieren. 35. Bei der Zusammenschaltung eines Kommunikations- und Informationssystems mit einem anderen IT-System müssen stets die folgenden grundlegenden Anforderungen erfüllt sein: a) die betrieblichen und operativen Anforderungen für solche Zusammenschaltungen müssen von den zuständigen Stellen bekannt gegeben und genehmigt werden; b) die betreffende Zusammenschaltung ist einem Risikomanagement- und Akkreditierungsverfahren zu unterziehen und bedarf der Genehmigung durch die zuständige SAA; c) Dienste für den Schutz von Systemübergängen werden an der Peripherie von Kommunikations- und Informationssystemen implementiert. 36. Es darf keine Zusammenschaltung zwischen einem akkreditierten Kommunikations- und Informationssystem und einem ungeschützten oder öffentlichen Netz geben, außer wenn das Kommunikations- und Informationssystem über zugelassene Dienste für den Schutz von Systemübergängen verfügt, die zu diesem Zweck zwischen dem Kommunikations- und Informationssystem und dem ungeschützten oder öffentlichen Netz installiert wurden. Die Sicherheitsmaßnahmen für eine derartige Zusammenschaltung werden von der zuständigen Stelle für Informationssicherung überprüft und von der zuständigen SAA genehmigt. 37. Wenn das ungeschützte oder öffentliche Netz lediglich als Träger verwendet wird und die Daten durch ein gemäß Nummer 27 EU-weit zertifiziertes kryptografisches Produkt verschlüsselt werden, gilt eine derartige Verbindung nicht als Zusammenschaltung. 38. Die direkte oder kaskadierte Zusammenschaltung eines Kommunikations- und Informationssystems, das für die Behandlung von Verschlusssachen des Geheimhaltungsgrads TRES SECRET UE/EU TOP SECRET oder eines gleichwertigen Geheimhaltungsgrads und Verschlusssachen des Geheimhaltungsgrads SECRET UE/EU SECRET oder eines gleichwertigen Geheimhaltungsgrads akkreditiert ist, mit einem ungeschützten oder öffentlichen Netz ist untersagt. B.10. Elektronische Datenträger 39. Die Vernichtung elektronischer Datenträger erfolgt nach Verfahren, die von der zuständigen Sicherheitsbehörde genehmigt wurden. 40. Elektronische Datenträger werden nach Maßgabe der Behandlungsanweisungen wiederverwendet, herabgestuft oder freigegeben. B.11. Notsituationen 41. In einer Notsituation wie beispielsweise drohenden oder bereits eingetretenen Krisen-, Konflikt- oder Kriegssituationen oder im Fall besonderer operativer Umstände können die nachstehend beschriebenen besonderen Verfahren angewandt werden. 42. Verschlusssachen können mit Zustimmung der zuständigen Behörde mit Hilfe kryptografischer Produkte, die für einen niedrigeren Geheimhaltungsgrad zugelassen sind, oder unverschlüsselt übermittelt werden, wenn eine Verzögerung einen Schaden verursachen würde, der deutlich größer wäre als der Schaden, der durch eine Preisgabe des als Verschlusssache eingestuften Materials entstehen würde, und wenn a) Absender und Empfänger nicht die erforderliche Verschlüsselungseinrichtung oder gar keine Verschlüsselungseinrichtung haben; b) das als Verschlusssache eingestufte Material nicht rechtzeitig auf anderem Wege übermittelt werden kann. 43. Verschlusssachen, die unter den unter Nummer 41 erläuterten Umständen übermittelt werden, sind nicht mit Kennzeichnungen oder Angaben zu versehen, die sie von nicht als Verschlusssache eingestuften Informationen oder solchen unterscheiden, die mit einem zur Verfügung stehenden kryptografischen Produkt geschützt werden können. Die Empfänger werden auf anderem Weg unverzüglich über den Geheimhaltungsgrad unterrichtet. 44. Wird gemäß Nummer 41 oder Nummer 42 Buchstabe a vorgegangen, ist der zuständigen Behörde und dem Sicherheitsausschuss anschließend Bericht zu erstatten. SICHERHEITSHINWEIS 4 MATERIELLER GEHEIMSCHUTZ A. EINLEITUNG Dieser Sicherheitshinweis legt die Sicherheitsgrundsätze für die Schaffung eines sicheren Umfelds für die Gewährleistung der korrekten Behandlung vertraulicher Informationen im Europäischen Parlament fest. Diese Grundsätze, einschließlich derjenigen, die sich auf die technische Sicherheit beziehen, werden durch die Behandlungsanweisungen ergänzt. B. SICHERHEITSRISIKOMANAGEMENT 1. Risiken für Verschlusssachen sind als Verfahren zu behandeln. Dieses Verfahren zielt auf die Bestimmung bekannter Sicherheitsrisiken, auf die Festlegung von Sicherheitsmaßnahmen zur Verringerung solcher Risiken auf ein hinnehmbares Niveau in Übereinstimmung mit den Grundprinzipien und Mindeststandards dieses Sicherheitshinweises und auf die Anwendung dieser Maßnahmen entsprechend dem Konzept der mehrschichtigen Sicherheit gemäß Sicherheitshinweis 3. Die Wirksamkeit solcher Maßnahmen wird fortlaufend bewertet. 2. Die Sicherheitsmaßnahmen für den Schutz von Verschlusssachen müssen während der gesamten Dauer ihrer Einstufung als Verschlusssachen insbesondere dem Geheimhaltungsgrad, der Form und dem Umfang der entsprechenden Informationen oder des entsprechenden Materials, der Lage und der Beschaffenheit der Einrichtungen, in denen Verschlusssachen untergebracht sind, und der örtlichen Einschätzung der Bedrohung durch feindselige und/oder kriminelle Handlungen, einschließlich Spionage, Sabotage oder Terrorakte, entsprechen. 3. In Notfallplänen wird berücksichtigt, dass Verschlusssachen in Notsituationen geschützt werden müssen, damit der unbefugte Zugang, die unbefugte Weitergabe oder der Verlust der Integrität beziehungsweise der Verfügbarkeit verhindert werden. 4. In Kontinuitätsplänen sind Präventions- und Wiederherstellungsmaßnahmen vorzusehen, damit die Auswirkungen größerer Störungen oder Zwischenfälle auf die Behandlung und Aufbewahrung von Verschlusssachen so gering wie möglich gehalten werden. C. ALLGEMEINE GRUNDSÄTZE 5. Der Geheimhaltungsgrad oder die Kennzeichnung die den Informationen zugewiesen werden, sind ausschlaggebend für das Schutzniveau, dem sie hinsichtlich des materiellen Geheimschutzes unterliegen. 6. Informationen, die einer Einstufung als Verschlusssache bedürfen, müssen ungeachtet ihrer materiellen Form als Verschlusssache gekennzeichnet und behandelt werden. Die Einstufung als Verschlusssache muss den Empfängern deutlich mitgeteilt werden, entweder durch die Kennzeichnung mit einem Geheimhaltungsgrad (falls die Information schriftlich übermittelt wird, sei es auf Papier oder über Informations- und Kommunikationssysteme) oder durch einen mündlichen Hinweis (falls die Information mündlich übermittelt wird, beispielsweise in einem Gespräch oder einem Vortrag). Als Verschlusssache eingestuftes Material ist materiell zu kennzeichnen, damit sein Geheimhaltungsgrad einfach zu erkennen ist. 7. Vertrauliche Informationen dürfen unter keinen Umständen in der Öffentlichkeit gelesen werden, wo sie von einer Person ohne die Einstufung „Kenntnis notwendig“ eingesehen werden könnten, etwa in Zügen, Flugzeugen, Cafés, Bars u. ä. Sie sind nicht in Hotelsafes oder -räumen zu lassen bzw. dürfen in der Öffentlichkeit nicht unbeaufsichtigt gelassen werden. D. ZUSTÄNDIGKEITEN 8. Das Referat Verschlusssachen ist für die Gewährleistung des materiellen Geheimschutzes bei der Verwaltung vertraulicher Informationen, die in seinen gesicherten Einrichtungen hinterlegt sind, zuständig. Das Referat Verschlusssachen ist auch für die Verwaltung seiner gesicherten Einrichtungen zuständig. 9. Der materielle Geheimschutz bei der Verwaltung von Informationen, die als RESTREINT UE/EU RESTRICTED oder gleichwertig eingestuft wurden, und von „sonstigen vertraulichen Informationen“ liegt in der Zuständigkeit des jeweiligen parlamentarischen Organs bzw. Amtsträgers. 10. Die Direktion Sicherheit und Risikobewertung ist für den persönlichen Geheimschutz und die Sicherheitsüberprüfung, die für die Gewährleistung der sicheren Behandlung vertraulicher Information im Europäischen Parlament notwendig ist, zuständig. 11. Die Direktion für Informationstechnologien (DIT) berät mit der Zielstellung und trägt dafür Sorge, dass alle erstellten oder verwendeten Kommunikations- und Informationssysteme vollständig dem Sicherheitshinweis 3 und den entsprechenden Behandlungsanweisungen entsprechen. E. GESICHERTE EINRICHTUNGEN 12. Gesicherte Einrichtungen können nach den technischen Sicherheitsstandards und entsprechend dem Niveau, der der vertraulichen Information gemäß Artikel 7 zugewiesen wird, eingerichtet werden. 13. Die gesicherten Einrichtungen werden von der Sicherheits-Akkreditierungsstelle (SAA) zertifiziert und von dem Sicherheitsorgan (SA) validiert. F. EINSICHTNAHME IN VERTRAULICHE INFORMATIONEN 14. Ist eine als RESTREINT UE/EU RESTRICTED oder gleichwertig oder als „sonstige vertrauliche Information“ eingestufte Information im Referat Verschlusssachen hinterlegt, in die außerhalb des gesicherten Bereichs Einsicht genommen werden muss, übermittelt das Referat Verschlusssachen eine Kopie an die entsprechende befugte Dienststelle, die dafür sorgt, dass die Einsichtnahme und Behandlung der jeweiligen Information mit Artikel 8 Absatz 2 und Artikel 10 dieses Beschlusses und den entsprechenden Behandlungsanweisungen vereinbar ist. 15. Ist eine als RESTREINT UE/EU RESTRICTED oder gleichwertig oder als „sonstige vertrauliche Information“ eingestufte Information in einem parlamentarischen Organ bzw. bei einem Amtsträger außerhalb des Referats Verschlusssachen hinterlegt, sorgt das Sekretariat dieses parlamentarischen Organs bzw. Amtsträgers dafür, dass die Einsichtnahme und Behandlung der jeweiligen Information mit Artikel 7 Absatz 3, Artikel 8 Absätze 1, 2 und 4, Artikel 9 Absatz 3, 4 und 5, Artikel 10 Absätze 2 bis 6 und Artikel 11 dieses Beschlusses und den entsprechenden Behandlungsanweisungen vereinbar ist. 16. Muss in eine als CONFIDENTIEL UE/EU CONFIDENTIAL, SECRET UE/EU SECRET oder TRÈS SECRET UE/EU TOP SECRET oder gleichwertig eingestufte Information im gesicherten Bereich Einsicht genommen werden, sorgt das Referat Verschlusssachen dafür, dass die Einsichtnahme und Behandlung der jeweiligen Information mit Artikel 9 und Artikel 10 dieses Beschlusses und den entsprechenden Behandlungsanweisungen vereinbar ist. G. TECHNISCHER GEHEIMSCHUTZ 17. Für den technischen Geheimschutz ist die Sicherheits-Akkreditierungsstelle (SAA) zuständig, die in den entsprechenden Behandlungsanweisungen die anzuwendenden spezifischen technischen Sicherheitsmaßnahmen festlegt. 18. Gesicherte Leseräume für die Einsichtnahme in Informationen, die als RESTREINT UE/EU RESTRICTED oder gleichwertig oder als „sonstige vertrauliche Information“ eingestuft sind, müssen den spezifischen technischen Sicherheitsmaßnahmen der Behandlungsanweisungen entsprechen. 19. Der gesicherte Bereich umfasst die folgenden Einrichtungen: a) einen Raum für die Zugangs-Sicherheitsüberprüfung (SAS), der den in den Behandlungsanweisungen festgelegten technischen Sicherheitsmaßnahmen entsprechend einzurichten ist. Der Zugang zu dieser Einrichtung wird registriert. Der Raum für die Zugangs