2013/488/EU: Beschluss des Rates vom 23. September 2013 über die Sicherheitsvorschriften für den Schutz von EU-Verschlusssachen

Durchsuchbarer Text in vereinfachter Darstellung. Tabellen, Abbildungen und verbindliche Gestaltung bitte anhand der Originaldateien prüfen.

icht erforderlich. 35. Als „CONFIDENTIEL UE/EU CONFIDENTIAL“ oder „SECRET UE/EU SECRET“ eingestufte Materialien (beispielsweise Geräte oder Maschinen), die nicht mit den unter Nummer 33 aufgeführten Beförderungsmitteln befördert werden können, werden nach Maßgabe des Anhangs V von gewerblichen Beförderungsunternehmen als Fracht befördert. 36. Die Beförderung von als „TRÈS SECRET UE/EU TOP SECRET“ eingestuften Verschlusssachen zwischen Gebäuden oder Räumlichkeiten innerhalb der Union erfolgt je nach Sachlage durch militärischen, diplomatischen oder Regierungskurier. Aus der Union in das Hoheitsgebiet eines Drittstaats 37. EU-VS, die aus der Union in das Hoheitsgebiet eines Drittstaats befördert werden, sind so zu verpacken, dass sie vor unbefugter Kenntnisnahme geschützt sind. 38. Die Beförderung von Verschlusssachen der Geheimhaltungsgrade „CONFIDENTIEL UE/EU CONFIDENTIAL“ oder „SECRET UE/EU SECRET“ aus der Union in das Hoheitsgebiet eines Drittstaats erfolgt a) durch militärischen oder diplomatischen Kurier; b) als Handgepäck mit der Maßgabe, dass i) das Paket ein amtliches Siegel trägt oder so gestaltet ist, dass deutlich wird, dass es sich um eine amtliche Sendung handelt, die keiner Überprüfung durch Zoll- und Sicherheitsbehörden unterzogen werden darf; ii) die betreffenden Personen einen Kurierausweis mit sich führen, in dem das Paket verzeichnet ist und die betreffenden Personen zur Beförderung des Pakets ermächtigt werden; iii) die EU-VS ununterbrochen im Besitz des Überbringers verbleibt, es sei denn, dass sie entsprechend den Anforderungen des Anhangs II aufbewahrt wird; iv) die EU-VS nicht während der Beförderung geöffnet oder an öffentlich zugänglichen Orten gelesen wird und v) die betreffenden Personen über ihre Verantwortlichkeiten für die Sicherheit belehrt werden. 39. Die Beförderung von Verschlusssachen der Geheimhaltungsgrade „CONFIDENTIEL UE/EU CONFIDENTIAL“ oder „SECRET UE/EU SECRET“ aus der Union in einen Drittstaat oder zu einer internationalen Organisation erfolgt nach den einschlägigen Bestimmungen eines Geheimschutzabkommens oder einer Verwaltungsvereinbarung nach Artikel 13 Absatz 2 Buchstabe a oder b. 40. Informationen des Geheimhaltungsgrads „RESTREINT UE/EU RESTRICTED“ dürfen auch durch Postdienste oder private Kurierdienste befördert werden. 41. Die Beförderung von Verschlusssachen des Geheimhaltungsgrads „TRÈS SECRET UE/EU TOP SECRET“ aus der Union in das Hoheitsgebiet eines Drittstaats erfolgt durch militärischen oder diplomatischen Kurier. VI. VERNICHTUNG VON EU-VS 42. Nicht mehr benötigte EU-Verschlusssachen können unbeschadet der einschlägigen Vorschriften und Regelungen über die Archivierung vernichtet werden. 43. Registrierungspflichtige Dokumente nach Artikel 9 Absatz 2 werden von der zuständigen Registratur auf Anweisung des Besitzers oder einer zuständigen Behörde vernichtet. Die Dienstbücher und sonstigen Registrierungsinformationen werden entsprechend aktualisiert. 44. Bei Dokumenten des Geheimhaltungsgrads „SECRET UE/EU SECRET“ oder „TRÈS SECRET UE/EU TOP SECRET“ erfolgt die Vernichtung im Beisein eines Zeugen, der mindestens zum Zugang zu Verschlusssachen mit dem Geheimhaltungsgrad des zu vernichtenden Dokuments ermächtigt ist. 45. Der Registerführer und der Zeuge — falls dessen Anwesenheit erforderlich ist — unterschreiben eine Vernichtungsbescheinigung, die in der Registratur abgelegt wird. Die Registratur bewahrt die Vernichtungsbescheinigungen von Dokumenten des Geheimhaltungsgrads „TRÈS SECRET UE/EU TOP SECRET“ mindestens zehn Jahre lang und von Dokumenten der Geheimhaltungsgrade „CONFIDENTIEL UE/EU CONFIDENTIAL“ und „SECRET UE/EU SECRET“ mindestens fünf Jahre lang auf. 46. Verschlusssachen, auch Verschlusssachen des Geheimhaltungsgrads „RESTREINT UE/EU RESTRICTED“, werden nach Verfahren vernichtet, die die einschlägigen Unionsnormen oder gleichwertige Normen erfüllen oder die gemäß nationalen technischen Normen von den Mitgliedstaaten zugelassen worden sind, damit so einer vollständigen oder teilweisen Wiederherstellung vorgebeugt wird. 47. Die Vernichtung elektronischer Datenträger, die für EU-VS verwendet wurden, erfolgt gemäß Anhang IV Nummer 37. 48. Wenn in Notfällen das unmittelbare Risiko einer unbefugten Weitergabe besteht, sind die EU-VS durch den Besitzer so zu vernichten, dass eine vollständige oder teilweise Wiederherstellung ausgeschlossen ist. Der Herausgeber und die herausgebende Registratur sind von der als Notfallmaßnahme durchgeführten Vernichtung der registrierten EU-VS in Kenntnis zu setzen. VII. BEWERTUNGSBESUCHE 49. Der Ausdruck „Bewertungsbesuch“ bezeichnet im Folgenden a) jede Inspektion oder jeden Bewertungsbesuch nach Artikel 9 Absatz 3 und Artikel 16 Absatz 2 Buchstaben e, f und g oder b) jeden Bewertungsbesuch gemäß Artikel 13 Absatz 5 zur Evaluierung der Wirksamkeit der Maßnahmen, die zum Schutz von EU-VS getroffen wurden. 50. Bewertungsbesuche werden unter anderem durchgeführt, um a) sicherzustellen, dass die erforderlichen Mindeststandards für den Schutz von EU-VS, die in diesem Beschluss festgelegt sind, eingehalten werden; b) der Bedeutung der Sicherheitsaspekte und eines wirksamen Risikomanagements in den inspizierten Stellen Nachdruck zu verleihen; c) Abwehrmaßnahmen zu empfehlen, um die spezifischen Auswirkungen des Verlusts der Vertraulichkeit, der Integrität oder der Verfügbarkeit von Verschlusssachen begrenzen zu können, und d) die laufenden Programme der Sicherheitsbehörden zur Sicherheitsschulung und zur Vermittlung von Sicherheitsbewusstsein zu unterstützen. 51. Der Rat stimmt vor Ablauf eines jeden Kalenderjahrs dem Programm für Bewertungsbesuche nach Artikel 16 Absatz 1 Buchstabe c für das Folgejahr zu. Der genaue Terminplan für die einzelnen Bewertungsbesuche wird im Benehmen mit den betreffenden Einrichtungen oder Agenturen der EU, Mitgliedstaaten, Drittstaaten oder internationalen Organisationen festgelegt. Durchführung von Bewertungsbesuchen 52. Es werden Bewertungsbesuche durchgeführt, um die einschlägigen Vorschriften, Regelungen und Verfahren der besuchten Stelle zu überprüfen und um nachzuprüfen, ob die Verfahrensweisen der Stelle den in diesem Beschluss festgelegten Grundprinzipien und Mindeststandards und den Bestimmungen für den Austausch von Verschlusssachen mit dieser Einrichtung entsprechen. 53. Bewertungsbesuche werden in zwei Phasen durchgeführt. Vor dem eigentlichen Besuch findet gegebenenfalls mit der betreffenden Stelle eine Vorbereitungssitzung statt. Daraufhin erstellt das Bewertungsteam im Benehmen mit der betreffenden Stelle ein detailliertes Bewertungsbesuchsprogramm für alle Sicherheitsbereiche. Das Bewertungsteam sollte Zugang zu jedem Ort erhalten, an dem EU-VS bearbeitet werden, insbesondere Registraturen und Zugangspunkte (PoP) der Kommunikations- und Informationssysteme. 54. Bewertungsbesuche bei den nationalen Verwaltungen der Mitgliedstaaten, in Drittstaaten und bei internationalen Organisationen werden in uneingeschränkter Zusammenarbeit mit den Bediensteten der besuchten Stelle bzw. des besuchten Drittstaates bzw. der besuchten internationalen Organisation durchgeführt. 55. Bewertungsbesuche bei den Einrichtungen, Agenturen und sonstigen Stellen der EU, die diesen Beschluss oder die darin enthaltenen Grundsätze anwenden, werden mit Unterstützung von Experten der Nationalen Sicherheitsbehörde, in deren Gebiet Einrichtung oder Agentur ihren Sitz hat, durchgeführt. 56. Im Falle von Bewertungsbesuchen bei Einrichtungen, Agenturen und Stellen der EU, die diesen Beschluss oder die darin enthaltenen Grundsätze anwenden, sowie in Drittstaaten und bei internationalen Organisationen kann im Einklang mit den vom Sicherheitsausschuss zu vereinbarenden ausführlichen Regelungen Unterstützung und Mitwirkung von Experten der Nationalen Sicherheitsbehörden angefordert werden. Berichte 57. Am Ende der Bewertungsbesuche werden der besuchten Stelle die wichtigsten Schlussfolgerungen und Empfehlungen vorgelegt. Anschließend wird ein Bericht über den Bewertungsbesuch erstellt. Wurden Abhilfemaßnahmen und Empfehlungen vorgeschlagen, so muss der Bericht hinreichende Einzelheiten zur Untermauerung der erzielten Schlussfolgerungen enthalten. Der Bericht wird der zuständigen Behörde der besuchten Stelle übermittelt. 58. Für Bewertungsbesuche in den nationalen Verwaltungen der Mitgliedstaaten gilt Folgendes: a) Der Entwurf des Bewertungsberichts wird der betreffenden Nationalen Sicherheitsbehörde übermittelt, damit diese überprüfen kann, ob er inhaltlich korrekt ist und keine Informationen enthält, die höher als „RESTREINT UE/EU RESTRICTED“ eingestuft sind und b) sofern die Nationale Sicherheitsbehörde des betreffenden Mitgliedstaats nicht darum ersucht, von einer allgemeinen Verteilung abzusehen, werden die Bewertungsberichte an den Sicherheitsausschuss verteilt. Der Bericht wird in den Geheimhaltungsgrad „RESTREINT UE/EU RESTRICTED“ eingestuft. Unter der Verantwortung der Sicherheitsbehörde des Generalsekretariats des Rates (Sicherheitsbüro) wird regelmäßig ein Bericht erstellt, in dem die Erfahrungswerte, die sich aus den während eines bestimmten Zeitraums in den Mitgliedstaaten durchgeführten Bewertungsbesuchen ergeben, dargelegt werden; dieser Bericht wird vom Sicherheitsausschuss geprüft. 59. Bei Bewertungsbesuchen in Drittstaaten und bei internationalen Organisationen wird der Bericht an den Sicherheitsausschuss verteilt. Der Bericht wird zumindest in den Geheimhaltungsgrad „RESTREINT UE/EU RESTRICTED“ eingestuft. Etwaige Abhilfemaßnahmen werden bei einem Folgebesuch verifiziert und dem Sicherheitsausschuss gemeldet. 60. Bei Bewertungsbesuchen von Einrichtungen, Agenturen und Stellen der EU, die diesen Beschluss oder die darin enthaltenen Grundsätze anwenden, werden die Berichte über Bewertungsbesuche an den Sicherheitsausschuss verteilt. Der Entwurf des Berichts über den Bewertungsbesuch wird der betreffenden Agentur oder Einrichtung übermittelt, damit diese überprüfen kann, ob er inhaltlich korrekt ist und keine Informationen enthält, die höher als „RESTREINT UE/EU RESTRICTED“ eingestuft sind. Etwaige Abhilfemaßnahmen werden bei einem Folgebesuch verifiziert und dem Sicherheitsausschuss gemeldet. 61. Die Sicherheitsbehörde des Generalsekretariats des Rates führt regelmäßig Inspektionen in den Verwaltungseinheiten des Generalsekretariats des Rates für die unter Nummer 50 festgelegten Zwecke durch. Prüfliste 62. Die Sicherheitsbehörde des Generalsekretariats des Rates (Sicherheitsbüro) erstellt eine Prüfliste für die bei einem Bewertungsbesuch zu überprüfenden Aspekte und aktualisiert diese Liste. Diese Prüfliste wird dem Sicherheitsausschuss übermittelt. 63. Die Informationen zum Ausfüllen der Prüfliste werden insbesondere während des Besuchs vom Sicherheitsmanagement der inspizierten Stelle eingeholt. Nachdem sie mit den ausführlichen Antworten ausgefüllt wurde, wird die Prüfliste im Benehmen mit der inspizierten Stelle als Verschlusssache eingestuft. Sie ist nicht Teil des Inspektionsberichts. ANHANG IV SCHUTZ VON EU-VS, DIE IN KOMMUNIKATIONS- UND INFORMATIONSSYSTEMEN BEARBEITET WERDEN I. EINLEITUNG 1. Dieser Anhang enthält Bestimmungen zur Anwendung von Artikel 10. 2. Die folgenden Eigenschaften und Konzepte der Informationssicherung sind für die Sicherheit und die ordnungsgemäße Durchführung von Operationen in Kommunikations- und Informationssystemen unerlässlich: Authentizität : die Garantie, dass die Informationen echt sind und aus Bona-fide-Quellen stammen; Verfügbarkeit : der Umstand, dass die Informationen auf Anfrage einer befugten Stelle verfügbar und nutzbar sind; Vertraulichkeit : der Umstand, dass die Informationen nicht gegenüber unbefugten Personen, Stellen oder Verarbeitungsprozessen offengelegt werden; Integrität : der Umstand, dass die Genauigkeit und die Vollständigkeit der Informationen und Werte gewährleistet sind; Beweisbarkeit : die Möglichkeit des Nachweises, dass ein Vorgang oder ein Ereignis stattgefunden hat, so dass dieser Vorgang oder dieses Ereignis nicht nachträglich abgestritten werden kann. II. GRUNDSÄTZE DER INFORMATIONSSICHERUNG 3. Die nachstehenden Bestimmungen sind Ausgangsbasis für die Sicherheit eines jeden Kommunikations- und Informationssystems, in dem EU-VS bearbeitet werden. Detaillierte Anforderungen zur Durchführung dieser Bestimmungen werden in Sicherheitskonzepten und Sicherheitsleitlinien für Informationssicherung festgelegt. Sicherheitsrisikomanagement 4. Sicherheitsrisikomanagement ist ein integraler Bestandteil der Konzeption, der Entwicklung, des Betriebs und der Wartung von Kommunikations- und Informationssystemen. Das Risikomanagement (Bewertung, Behandlung, Akzeptanz und Kommunikation) wird als fortlaufender Prozess gemeinsam von Vertretern der Systemeigner, den für ein Projekt zuständigen Stellen, den für den Betrieb zuständigen Stellen und den Sicherheits-Zulassungsstellen durchgeführt; dabei wird ein bewährtes, transparentes und vollkommen verständliches Risikobewertungsverfahren durchgeführt. Der Umfang des Kommunikations- und Informationssystems und seine Werte müssen gleich zu Beginn des Risikomanagementprozesses klar umrissen sein. 5. Die zuständigen Stellen müssen die potenziellen Bedrohungen für Kommunikations- und Informationssysteme überprüfen und über stets aktuelle und genaue Risikobewertungen entsprechend dem jeweiligen betrieblichen Umfeld verfügen. Sie halten ihre Kenntnisse über potenzielle Schwachstellen stets auf dem neuesten Stand und überprüfen regelmäßig die Bewertung der Schwachstellen, um den sich ändernden IT-Gegebenheiten Rechnung zu tragen. 6. Das Ziel bei der Sicherheitsrisikobehandlung muss darin bestehen, ein Paket von Sicherheitsmaßnahmen anzuwenden, die zu einer zufriedenstellenden Ausgewogenheit zwischen den Anforderungen der Nutzer, den Kosten und dem Sicherheitsrestrisiko führen. 7. Die spezifischen Anforderungen, der Maßstab und Grad der Detaillierung, die von der einschlägigen SAA zur Akkreditierung eines Kommunikations- und Informationssystems festgelegt werden, müssen dem festgestellten Risiko entsprechen; dabei ist allen relevanten Faktoren Rechnung zu tragen, darunter dem Geheimhaltungsgrad der EU-VS, die in dem Kommunikations- und Informationssystem bearbeitet werden. Zur Akkreditierung gehören eine förmliche Erklärung zum Restrisiko und die Akzeptanz des Restrisikos durch eine zuständige Stelle. Sicherheit während des gesamten Lebenszyklus eines Kommunikations- und Informationssystems 8. Die Gewährleistung der Sicherheit ist während des gesamten Lebenszyklus eines Kommunikations- und Informationssystems ab der Einführung bis zur Außerbetriebstellung erforderlich. 9. Die Rolle aller an einem Kommunikations- und Informationssystem Beteiligten und deren Interaktion hinsichtlich der Sicherheit des Systems werden für jede Phase des Lebenszyklus definiert. 10. Jegliches Kommunikations- und Informationssystem einschließlich seiner technischen und nicht technischen Sicherheitsmaßnahmen wird während des Akkreditierungsverfahrens Sicherheitsprüfungen unterzogen, damit gewährleistet ist, dass das erforderliche Sicherheitsniveau erreicht wird, und geprüft wird, dass es korrekt implementiert, integriert und konfiguriert wird. 11. Sicherheitsbewertungen, -inspektionen und -überprüfungen werden während des Betriebs eines Kommunikations- und Informationssystems und während Wartungsarbeiten in regelmäßigen Abständen sowie im Falle außergewöhnlicher Umstände durchgeführt. 12. Die Sicherheitsdokumentation für ein Kommunikations- und Informationssystem wird während dessen Lebenszyklus weiterentwickelt als integraler Bestandteil des Prozesses eines Änderungs- und Konfigurationsmanagements. Optimale Vorgehensweisen 13. Das Generalsekretariat des Rates und die Mitgliedstaaten arbeiten zusammen, um optimale Vorgehensweisen für den Schutz von EU-VS, die in Kommunikations- und Informationssystemen bearbeitet werden, zu entwickeln. Leitlinien zu optimalen Vorgehensweisen enthalten Sicherheitsmaßnahmen in den Bereichen Technik, physischer Schutz, Organisation und Verfahren für Kommunikations- und Informationssysteme, deren Effizienz bei der Abwehr von Bedrohungen und der Behebung von Schwachstellen belegt ist. 14. Für den Schutz von EU-VS, die in Kommunikations- und Informationssystemen bearbeitet werden, sind die Erfahrungen derjenigen Stellen innerhalb und außerhalb der Union, die im Bereich Informationssicherung tätig sind, heranzuziehen. 15. Die Verbreitung und anschließende Anwendung optimaler Vorgehensweisen soll dazu beitragen, dass ein gleichwertiges Sicherheitsniveau für die verschiedenen, vom Generalsekretariat des Rates und von den Mitgliedstaaten betriebenen Kommunikations- und Informationssystemen erreicht wird, die EU-VS bearbeiten. Mehrschichtige Sicherheit 16. Um das Risiko bei Kommunikations- und Informationssystemen zu verringern, wird eine Reihe von technischen und nicht technischen Sicherheitsmaßnahmen in Form eines mehrschichtigen Abwehrsystems durchgeführt. Dazu gehören a) Abschreckung: Sicherheitsmaßnahmen, mit denen darauf abgezielt wird, Gegner von einer Planung von Angriffen auf das Kommunikations- und Informationssystem abzuhalten; b) Prävention: Sicherheitsmaßnahmen, mit denen darauf abgezielt wird, einen Angriff auf das Kommunikations- und Informationssystem zu verhindern oder abzublocken; c) Erkennung: Sicherheitsmaßnahmen, mit denen darauf abgezielt wird, einen Angriff auf das Kommunikations- und Informationssystem zu erkennen; d) Widerstandsfähigkeit: Sicherheitsmaßnahmen, mit denen darauf abgezielt wird, die Auswirkungen eines Angriffs auf möglichst wenige Informationen oder Werte des Kommunikations- und Informationssystemen zu begrenzen und weiteren Schaden zu verhindern, und e) Wiederherstellung: Sicherheitsmaßnahmen, mit denen darauf abgezielt wird, für das Kommunikations- und Informationssystem eine Situation der Sicherheit wiederherzustellen. Wie streng diese Sicherheitsmaßnahmen zu sein haben, wird durch eine Risikobewertung bestimmt. 17. Die Nationale Sicherheitsbehörde oder eine andere zuständige Behörde trägt dafür Sorge, dass a) Cyberabwehrfähigkeiten implementiert werden, damit auf Bedrohungen, die die Grenzen einer Organisation oder eines Staates überschreiten können, reagiert werden kann, und b) die Reaktionen koordiniert und Informationen über diese Bedrohungen, Zwischenfälle und damit zusammenhängende Risikokonstellationen ausgetauscht werden (Computer-Notfall-Reaktionsfähigkeit). Minimalitätsprinzip und Prinzip der minimalen Zugriffsrechte 18. Nur die für die operativen Anforderungen unbedingt notwendigen Funktionen, Geräte und Dienste werden implementiert, damit unnötige Risiken vermieden werden. 19. Nutzer von Kommunikations- und Informationssystemen und automatisierten Verfahrensabläufen erhalten nur den Zugang, die Berechtigung oder die Genehmigungen, die für die Erfüllung ihrer Aufgaben erforderlich sind, damit der Schaden, der durch Zwischenfälle, Fehler oder die unbefugte Nutzung von Ressourcen des Kommunikations- und Informationssystems entstehen kann, begrenzt wird. 20. Die von einem Kommunikations- und Informationssystem durchgeführten Registrierungsverfahren werden, soweit erforderlich, als Teil des Akkreditierungsverfahrens überprüft. Sensibilisierung in Bezug auf Informationssicherung 21. Sensibilisierung für die Risiken und die zur Verfügung stehenden Sicherheitsmaßnahmen ist die erste Verteidigungslinie in Bezug auf die Sicherheit von Kommunikations- und Informationssystemen. Insbesondere sollte sich das gesamte Personal, das mit einem Kommunikations- und Informationssystem während dessen Lebenszyklus befasst ist, einschließlich der Nutzer, über Folgendes bewusst sein: a) Sicherheitslücken können den Kommunikations- und Informationssystemen erheblich schaden; b) aus einer Vernetzung und Verflechtung kann sich potenzieller Schaden für andere ergeben, und c) sie sind persönlich für die Sicherheit eines Kommunikations- und Informationssystems entsprechend ihrer konkreten Aufgabe innerhalb des Systems und bei den Prozessen verantwortlich und dafür rechenschaftspflichtig. 22. Damit sichergestellt ist, dass die Verantwortlichkeiten für die Sicherheit bekannt sind, müssen Schulung und Sensibilisierung in Bezug auf Informationssicherung für das gesamte beteiligte Personal, einschließlich des Führungspersonals, und die Nutzer von Kommunikations- und Informationssystemen obligatorisch sein. Evaluierung und Zulassung von IT-Sicherheitsprodukten 23. Das erforderliche Maß an Vertrauen in die Sicherheitsmaßnahmen, das als Niveau der Vertrauenswürdigkeit definiert wird, wird aufgrund der Ergebnisse des Risikomanagementprozesses und entsprechend den einschlägigen Sicherheitskonzepten und Sicherheitsleitlinien bestimmt. 24. Das Vertrauenswürdigkeitsniveau wird geprüft, indem international anerkannte oder national genehmigte Verfahren und Methoden angewandt werden. Dazu gehören in erster Linie Evaluierung, Kontrollen und Betriebsanalysen. 25. Kryptografische Produkte zum Schutz von EU-VS werden von einer nationalen Krypto-Zulassungsstelle (CAA) eines Mitgliedstaats evaluiert und zugelassen. 26. Bevor kryptografische Produkte dem Rat oder dem Generalsekretär gemäß Artikel 10 Absatz 6 zur Zulassung empfohlen werden, müssen sie eine Zweitevaluierung durch eine entsprechend qualifizierte Behörde (Appropriately Qualified Authority, AQUA) eines Mitgliedstaats, die nicht an der Konzeption oder Herstellung der Ausrüstung beteiligt ist, erfolgreich durchlaufen. Wie detailliert bei einer Zweitevaluierung zu prüfen ist, hängt von dem angestrebten höchsten Geheimhaltungsgrad der EU-VS ab, die mit diesen Produkten geschützt werden sollen. Der Rat billigt ein Sicherheitskonzept in Bezug auf die Evaluierung und Zulassung von kryptografischen Produkten. 27. Wenn dies aus spezifischen operativen Gründen gerechtfertigt ist, kann der Rat oder gegebenenfalls der Generalsekretär auf Empfehlung des Sicherheitsausschusses auf die Anforderungen nach Nummer 25 oder 26 dieses Anhangs verzichten und eine vorläufige Zulassung für einen spezifischen Zeitraum gemäß dem Verfahren nach Artikel 10 Absatz 6 erteilen. 28. Der Rat kann auf Empfehlung des Sicherheitsausschusses den Bewertungs-, Auswahl-