Beschluss (EU, Euratom) 2017/46 der Kommission vom 10. Januar 2017 über die Sicherheit von Kommunikations- und Informationssystemen in der Europäischen Kommission

Durchsuchbarer Text in vereinfachter Darstellung. Tabellen, Abbildungen und verbindliche Gestaltung bitte anhand der Originaldateien prüfen.

eit angehören sollte, die auch für die Verarbeitung der unter die Verordnung (EG) Nr. 45/2001 fallenden Datensätze zuständig ist; 2. sie benennen förmlich einen lokalen IT-Sicherheitsbeauftragten (LISO), der seine Zuständigkeiten unabhängig von Systemeignern und Dateneignern wahrnehmen kann. Ein LISO kann für eine oder mehrere Kommissionsdienststellen benannt werden; 3. sie sorgen dafür, dass angemessene IT-Sicherheitsrisikobewertungen durchgeführt und IT-Sicherheitspläne aufgestellt und umgesetzt werden; 4. sie sorgen dafür, dass der Generaldirektion Informatik regelmäßig eine Zusammenfassung der IT-Sicherheitsrisiken und -maßnahmen übermittelt wird; 5. sie sorgen mit Unterstützung der Generaldirektion Informatik dafür, dass angemessene Prozesse, Verfahren und Lösungen bestehen, um eine effiziente Erkennung, Meldung und Behebung von IT-Sicherheitsvorfällen in Bezug auf ihre KIS zu gewährleisten; 6. sie leiten bei IT-Sicherheitsnotfällen ein Notverfahren ein; 7. sie sind letztlich für die IT-Sicherheit einschließlich der Zuständigkeiten des Systemeigners und Dateneigners verantwortlich; 8. sie tragen die Risiken in Bezug auf ihre KIS und Datensätze; 9. sie lösen Streitigkeiten zwischen Dateneignern und Systemeignern und legen fortdauernde Streitigkeiten dem ISSB zur Beilegung vor; 10. sie sorgen dafür, dass IT-Sicherheitspläne und IT-Sicherheitsmaßnahmen umgesetzt werden und dass den Risiken angemessen begegnet wird. Die Prozesse in Bezug auf diese Zuständigkeiten und Tätigkeiten werden in Durchführungsbestimmungen im Einzelnen festgelegt. Artikel 9 Systemeigner (1) Der Systemeigner ist zuständig für die IT-Sicherheit des KIS und untersteht dem Leiter der Kommissionsdienststelle. (2) In Bezug auf die IT-Sicherheit hat der Systemeigner folgende Pflichten: a) Er sorgt für die Einhaltung des IT-Sicherheitskonzepts durch das KIS; b) er sorgt dafür, dass das KIS im betreffenden Bestandsverzeichnis exakt erfasst wird; c) er bewertet die IT-Sicherheitsrisiken und bestimmt den IT-Sicherheitsbedarf für jedes KIS in Zusammenarbeit mit den Dateneignern und in Abstimmung mit der Generaldirektion Informatik; d) er stellt einen Sicherheitsplan auf, der gegebenenfalls Einzelheiten über die bewerteten Risiken und über zusätzlich erforderliche Sicherheitsmaßnahmen enthält; e) er setzt angemessene IT-Sicherheitsmaßnahmen um, die im Verhältnis zu den festgestellten IT-Sicherheitsrisiken stehen, und kommt den vom ISSB gebilligten Empfehlungen nach; f) er stellt etwaige Abhängigkeiten von anderen KIS oder gemeinsam genutzten IT-Diensten fest und setzt gegebenenfalls angemessene Sicherheitsmaßnahmen um, wobei er sich auf die Sicherheitsgrade stützt, die von diesen KIS oder gemeinsam genutzten IT-Diensten vorgeschlagen werden; g) er übernimmt das Management und die Überwachung der IT-Sicherheitsrisiken; h) er berichtet dem Leiter der Kommissionsdienststelle regelmäßig über die IT-Sicherheitsrisikoprofile ihrer KIS und der Generaldirektion Informatik über die betreffenden Risiken, Risikomanagementtätigkeiten und ergriffenen Sicherheitsmaßnahmen; i) er konsultiert den LISO der betreffenden Kommissionsdienststelle(n) zu Aspekten der IT-Sicherheit; j) er gibt den Nutzern Anweisungen für die Nutzung des KIS und der zugehörigen Daten sowie im Hinblick auf die Verantwortlichkeiten der Nutzer im Zusammenhang mit dem KIS; k) er beantragt bei der Generaldirektion Humanressourcen und Sicherheit, die als kryptografische Stelle tätig ist, Genehmigungen für KIS, die Verschlüsselungstechnik einsetzen; l) er konsultiert vorab die Sicherheitsstelle der Kommission bezüglich jedes Systems, das EU-Verschlusssachen verarbeitet; m) er stellt sicher, dass Sicherheitskopien aller zur Entschlüsselung benötigten Schlüssel in einem Sperrkonto gespeichert werden. Die Entschlüsselung der verschlüsselten Daten darf nur erfolgen, wenn dies im Einklang mit dem von der Generaldirektion Humanressourcen und Sicherheit festgelegten Rahmen genehmigt worden ist; n) er befolgt alle Anweisungen der jeweiligen für die Datenverarbeitung Verantwortlichen bezüglich des Schutzes personenbezogener Daten und der Anwendung der Datenschutzvorschriften auf die Sicherheit der Verarbeitung; o) er meldet der Generaldirektion Informatik alle Ausnahmen vom IT-Sicherheitskonzept der Kommission mit den jeweiligen Begründungen; p) er berichtet dem Leiter der Kommissionsdienststelle über unlösbare Streitigkeiten zwischen Dateneigner und Systemeigner und benachrichtigt die jeweils Betroffenen zeitnah von IT-Sicherheitsvorfällen, soweit dies je nach der Schwere des Vorfalls gemäß Artikel 15 geboten ist; q) bei an Dritte ausgelagerten Systemen sorgt er dafür, dass angemessene IT-Sicherheitsbestimmungen in die Auslagerungsverträge aufgenommen werden und dass IT-Sicherheitsvorfälle, die in dem ausgelagerten KIS auftreten, gemäß Artikel 15 gemeldet werden; r) bei KIS, die gemeinsam genutzte IT-Dienste bereitstellen, sorgt er dafür, dass ein festgelegter Sicherheitsgrad zur Verfügung steht und eindeutig dokumentiert ist und dass Sicherheitsmaßnahmen für das KIS umgesetzt werden, um den festgelegten Sicherheitsgrad zu erreichen. (3) Systemeigner können einige oder alle ihre IT-Sicherheitsaufgaben förmlich delegieren, sie bleiben aber für die IT-Sicherheit ihres KIS zuständig. Die Prozesse in Bezug auf diese Zuständigkeiten und Tätigkeiten werden in Durchführungsbestimmungen im Einzelnen festgelegt. Artikel 10 Dateneigner (1) Der Dateneigner ist gegenüber dem Leiter der Kommissionsdienststelle für die IT-Sicherheit eines bestimmten Datensatzes zuständig und für die Vertraulichkeit, Integrität und Verfügbarkeit des Datensatzes verantwortlich. (2) In Bezug auf diesen Datensatz hat der Dateneigner folgende Pflichten: a) Er sorgt dafür, dass alle Datensätze, für die er zuständig ist, gemäß den Beschlüssen (EU, Euratom) 2015/443 und (EU, Euratom) 2015/444 angemessen eingestuft werden; b) er definiert den Sicherheitsbedarf der Informationen und teilt ihn dem Systemeigner mit; c) er nimmt an der Risikobewertung des KIS teil; d) er berichtet dem Leiter der Kommissionsdienststelle über unlösbare Streitigkeiten zwischen Dateneigner und Systemeigner; e) er meldet IT-Sicherheitsvorfälle gemäß Artikel 15. (3) Dateneigner können einige oder alle ihre IT-Sicherheitsaufgaben förmlich delegieren, sie behalten aber ihre in diesem Artikel festgelegten Zuständigkeiten. Die Prozesse in Bezug auf diese Zuständigkeiten und Tätigkeiten werden in Durchführungsbestimmungen im Einzelnen festgelegt. Artikel 11 Lokale IT-Sicherheitsbeauftragte (LISO) In Bezug auf die IT-Sicherheit hat der lokale IT-Sicherheitsbeauftragte folgende Pflichten: a) Er ermittelt proaktiv Systemeigner, Dateneigner und andere Beteiligte mit Zuständigkeit für die IT-Sicherheit in den Kommissionsdienststellen und informiert sie über das IT-Sicherheitskonzept; b) er arbeitet in Fragen der IT-Sicherheit in den Kommissionsdienststellen als Teil des LISO-Netzes mit der Generaldirektion Informatik zusammen; c) er nimmt an den regelmäßigen Sitzungen des LISO-Netzes teil; d) er behält den Überblick über den Risikomanagementprozess für die Informationssicherheit und über die Ausarbeitung und Umsetzung von Sicherheitsplänen für Informationssysteme; e) er berät die Systemeigner, Dateneigner und Leiter der Kommissionsdienststellen in Fragen der IT-Sicherheit; f) er arbeitet mit der Generaldirektion Informatik bei der Verbreitung der bewährten IT-Sicherheitspraxis zusammen und schlägt konkrete Sensibilisierungs- und Schulungsprogramme vor; g) er berichtet dem Leiter der Kommissionsdienststelle über die IT-Sicherheit, deckt Mängel auf und schlägt Verbesserungen vor. Die Prozesse in Bezug auf diese Zuständigkeiten und Tätigkeiten werden in Durchführungsbestimmungen im Einzelnen festgelegt. Artikel 12 Nutzer (1) In Bezug auf die IT-Sicherheit haben die Nutzer folgende Pflichten: a) Sie beachten das IT-Sicherheitskonzept und die Anweisungen des Systemeigners bezüglich der Nutzung jedes KIS; b) sie melden IT-Sicherheitsvorfälle gemäß Artikel 15. (2) Eine Nutzung der KIS der Kommission unter Missachtung des IT-Sicherheitskonzepts oder der Anweisungen des Systemeigners kann zur Einleitung eines Disziplinarverfahrens führen. Die Prozesse in Bezug auf diese Zuständigkeiten und Tätigkeiten werden in Durchführungsbestimmungen im Einzelnen festgelegt. KAPITEL 3 SICHERHEITSANFORDERUNGEN UND SICHERHEITSPFLICHTEN Artikel 13 Anwendung des Beschlusses (1) Der Erlass der Durchführungsbestimmungen zu Artikel 6 und der betreffenden Normen und Leitlinien erfolgt nach Maßgabe eines gesonderten Ermächtigungsbeschlusses der Kommission zugunsten des für Sicherheitsfragen zuständigen Kommissionsmitglieds. (2) Der Erlass aller anderen Durchführungsbestimmungen zu diesem Beschluss und der betreffenden IT-Normen und -Leitlinien erfolgt nach Maßgabe eines gesonderten Ermächtigungsbeschlusses der Kommission zugunsten des für Informatik zuständigen Kommissionsmitglieds. (3) Für den Erlass der in den Absätzen 1 und 2 genannten Durchführungsbestimmungen, Normen und Leitlinien ist die vorherige Zustimmung des ISSB erforderlich. Artikel 14 Pflicht zur Einhaltung der Bestimmungen (1) Die Einhaltung der Bestimmungen des IT-Sicherheitskonzepts und der IT-Sicherheitsnormen ist verbindlich vorgeschrieben. (2) Die Nichteinhaltung des IT-Sicherheitskonzepts und der IT-Sicherheitsnormen kann Disziplinarmaßnahmen gemäß den Verträgen, dem Statut und der BBSB, vertragliche Sanktionen und/oder Gerichtsverfahren nach den nationalen Gesetzen und Vorschriften nach sich ziehen. (3) Alle Ausnahmen vom IT-Sicherheitskonzept müssen der Generaldirektion Informatik gemeldet werden. (4) Falls der ISSB feststellt, dass bei einem KIS der Kommission ein dauerhaftes inakzeptables Risiko besteht, muss die Generaldirektion Informatik in Zusammenarbeit mit dem Systemeigner dem ISSB Risikominderungsmaßnahmen zur Annahme vorschlagen. Diese Maßnahmen können u. a. eine verstärkte Überwachung und Berichterstattung sowie Dienstbeschränkungen und die Abschaltung vorsehen. (5) Falls erforderlich, ordnet das ISSB die Anwendung angenommener Risikominderungsmaßnahmen an. Ferner kann das ISSB dem Generaldirektor der Generaldirektion Humanressourcen und Sicherheit die Einleitung einer Verwaltungsuntersuchung empfehlen. Die Generaldirektion Informatik erstattet dem ISSB über alle Situationen Bericht, in denen Risikominderungsmaßnahmen angeordnet werden. Die Prozesse in Bezug auf diese Zuständigkeiten und Tätigkeiten werden in Durchführungsbestimmungen im Einzelnen festgelegt. Artikel 15 Umgang mit IT-Sicherheitsvorfällen (1) Die Generaldirektion Informatik ist für die Bereitstellung der hauptsächlichen operativen Reaktionsfähigkeit auf IT-Sicherheitsvorfälle in der Europäischen Kommission zuständig. (2) Die Generaldirektion Humanressourcen und Sicherheit wirkt als Beteiligte an der Reaktion auf IT-Sicherheitsvorfälle mit und hat dabei folgende Aufgaben: a) Sie hat ein Zugriffsrecht auf zusammengefasste Informationen über alle Vorfälle und erhält auf Anfrage Zugang zu den vollständigen Aufzeichnungen; b) sie wirkt in Krisenmanagementgruppen für IT-Sicherheitsvorfälle und in IT-Sicherheitsnotverfahren mit; c) sie ist für die Beziehungen zu Strafverfolgungsbehörden und Nachrichtendiensten zuständig; d) sie führt forensische Cybersicherheitsanalysen gemäß Artikel 11 des Beschlusses (EU, Euratom) 2015/443 durch; e) sie entscheidet über die Notwendigkeit der Einleitung einer förmlichen Untersuchung; f) sie unterrichtet die Generaldirektion Informatik über alle IT-Sicherheitsvorfälle, aus denen sich ein Risiko für andere KIS ergeben könnte. (3) Zwischen der Generaldirektion Informatik und der Generaldirektion Humanressourcen und Sicherheit findet eine regelmäßige Kommunikation zum Austausch von Informationen und zur Koordinierung des Umgangs mit Sicherheitsvorfällen, insbesondere IT-Sicherheitsvorfällen, die eine förmliche Untersuchung erforderlich machen, statt. (4) Die Koordinierungsdienste, die das IT-Notfallteam für die Organe, Einrichtungen und sonstigen Stellen der EU (CERT-EU) bei Vorfällen erbringt, können in Anspruch genommen werden, um nötigenfalls das Verfahren zur Bewältigung von Vorfällen zu unterstützen und um den Wissensaustausch mit anderen Organen, Einrichtungen und sonstigen Stellen der EU, die möglicherweise betroffen sind, zu erleichtern. (5) Systemeigner, die von einem IT-Sicherheitsvorfall betroffen sind, haben folgende Pflichten: a) Sie benachrichtigen unverzüglich den Leiter ihrer Kommissionsdienststelle, die Generaldirektion Informatik, die Generaldirektion Humanressourcen und Sicherheit, den LISO und gegebenenfalls den Dateneigner von allen größeren IT-Sicherheitsvorfällen, insbesondere wenn dabei die Vertraulichkeit von Daten verletzt wurde; b) sie arbeiten mit den einschlägigen Stellen der Kommission zusammen und befolgen deren Anweisungen in Bezug auf die Information über den Vorfall, die Reaktion und Abhilfemaßnahmen. (6) Die Nutzer melden zeitnah alle tatsächlichen oder mutmaßlichen IT-Sicherheitsvorfälle beim zuständigen IT-Helpdesk. (7) Die Dateneigner melden zeitnah alle tatsächlichen oder mutmaßlichen IT-Sicherheitsvorfälle beim zuständigen Noteinsatzteam für IT-Sicherheitsvorfälle. (8) Die Generaldirektion Informatik ist mit Unterstützung der anderen mitwirkenden Beteiligten zuständig für den Umgang mit IT-Sicherheitsvorfällen, die im Zusammenhang mit nicht an Dritte ausgelagerten KIS der Kommission festgestellt werden. (9) Die Generaldirektion Informatik informiert alle betroffenen Kommissionsdienststellen, den betreffenden LISO und gegebenenfalls das CERT-EU über IT-Sicherheitsvorfälle nach dem Grundsatz „Kenntnis nur, wenn nötig“. (10) Die Generaldirektion Informatik erstattet dem ISSB regelmäßig Bericht über größere IT-Sicherheitsvorfälle, von denen die KIS der Kommission betroffen sind. (11) Der jeweilige LISO erhält auf Anfrage Zugang zu den Aufzeichnungen über IT-Sicherheitsvorfälle in Bezug auf die KIS der betreffenden Kommissionsdienststelle. (12) Bei einem größeren IT-Sicherheitsvorfall fungiert die Generaldirektion Informatik als Kontaktstelle für das Krisenmanagement und koordiniert die Arbeit der Krisenmanagementgruppen für IT-Sicherheitsvorfälle. (13) Im Notfall kann der Generaldirektor der Generaldirektion Informatik die Einleitung eines IT-Sicherheitsnotverfahrens beschließen. Die Generaldirektion Informatik arbeitet Notverfahren aus, die dem ISSB zur Genehmigung vorgelegt werden müssen. (14) Die Generaldirektion Informatik erstattet dem ISSB und den Leitern der betroffenen Kommissionsdienststellen über die Durchführung der Notverfahren Bericht. Die Prozesse in Bezug auf diese Zuständigkeiten und Tätigkeiten werden in Durchführungsbestimmungen im Einzelnen festgelegt. KAPITEL 4 SCHLUSSBESTIMMUNGEN Artikel 16 Transparenz Dieser Beschluss wird den Bediensteten der Kommission und allen Personen, für die er gilt, zu Kenntnis gebracht und im Amtsblatt der Europäischen Union veröffentlicht. Artikel 17 Verhältnis zu anderen Rechtsakten Die Bestimmungen dieses Beschlusses gelten unbeschadet des Beschlusses (EU, Euratom) 2015/443, des Beschlusses (EU, Euratom) 2015/444, der Verordnung (EG) Nr. 45/2001, der Verordnung (EG) Nr. 1049/2001 des Europäischen Parlaments und des Rates (7), des Beschlusses 2002/47/EG, EGKS, Euratom der Kommission (8), der Verordnung (EU, Euratom) Nr. 883/2013 des Europäischen Parlaments und des Rates (9) und des Beschlusses 1999/352/EG, EGKS, Euratom. Artikel 18 Aufhebung und Übergangsbestimmungen Der Beschluss C(2006) 3602 vom 16. August 2006 wird aufgehoben. Die gemäß Artikel 10 des Beschlusses C(2006) 3602 angenommenen Durchführungsbestimmungen und IT-Sicherheitsnormen bleiben insoweit in Kraft, wie sie dem vorliegenden Beschluss nicht widersprechen, bis sie durch Durchführungsbestimmungen und Normen ersetzt werden, die gemäß Artikel 13 des vorliegenden Beschlusses angenommen werden. Bezugnahmen auf Artikel 10 des Beschlusses C(2006) 3602 gelten als Bezugnahmen auf Artikel 13 des vorliegenden Beschlusses. Artikel 19 Inkrafttreten Dieser Beschluss tritt am zwanzigsten Tag nach seiner Veröffentlichung im Amtsblatt der Europäischen Union in Kraft. Brüssel, den 10. Januar 2017 Für die Kommission Der Präsident Jean-Claude JUNCKER (1) Verordnung (EG) Nr. 45/2001 des Europäischen Parlaments und des Rates vom 18. Dezember 2000 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die Organe und Einrichtungen der Gemeinschaft und zum freien Datenverkehr (ABl. L 8 vom 12.1.2001, S. 1). (2) Beschluss (EU, Euratom) 2015/443 der Kommission vom 13. März 2015 über Sicherheit in der Kommission (ABl. L 72 vom 17.3.2015, S. 41). (3) Beschluss (EU, Euratom) 2015/444 der Kommission vom 13. März 2015 über die Sicherheitsvorschriften für den Schutz von EU-Verschlusssachen (ABl. L 72 vom 17.3.2015, S. 53). (4) Festgelegt durch die Verordnung (EWG, Euratom, EGKS) Nr. 259/68 des Rates vom 29. Februar 1968 zur Festlegung des Statuts der Beamten der Europäischen Gemeinschaften und der Beschäftigungsbedingungen für die sonstigen Bediensteten dieser Gemeinschaften sowie zur Einführung von Sondermaßnahmen, die vorübergehend auf die Beamten der Kommission anwendbar sind (Beschäftigungsbedingungen für die sonstigen Bediensteten) (ABl. L 56 vom 4.3.1968, S. 1). (5) Beschluss der Kommission vom 12. November 2008 über die Regelung für zur Kommission abgeordnete oder sich zu Zwecken der beruflichen Weiterbildung bei der Kommission aufhaltende nationale Sachverständige (K(2008) 6866 endg.). (6) Beschluss 1999/352/EG, EGKS, Euratom der Kommission vom 28. April 1999 zur Errichtung des Europäischen Amtes für Betrugsbekämpfung (OLAF) (ABl. L 136 vom 31.5.1999, S. 20). (7) Verordnung (EG) Nr. 1049/2001 des Europäischen Parlaments und des Rates vom 30. Mai 2001 über den Zugang der Öffentlichkeit zu Dokumenten des Europäischen Parlaments, des Rates und der Kommission (ABl. L 145 vom 31.5.2001, S. 43). (8) Beschluss 2002/47/EG, EGKS, Euratom der Kommission vom 23. Januar 2002 zur Änderung ihrer Geschäftsordnung (ABl. L 21 vom 24.1.2002, S. 23). (9) Verordnung (EU, Euratom) Nr. 883/2013 des Europäischen Parlaments und des Rates vom 11. September 2013 über die Untersuchungen des Europäischen Amtes für Betrugsbekämpfung (OLAF) und zur Aufhebung der Verordnung (EG) Nr. 1073/1999 des Europäischen Parlaments und des Rates und der Verordnung (Euratom) Nr. 1074/1999 des Rates (ABl. L 248 vom 18.9.2013, S. 1).