(1)   Dieser Beschluss enthält Durchführungsbestimmungen über den Geheimschutz in der Wirtschaft in Bezug auf als Verschlusssache eingestufte öffentliche Aufträge zur Unterstützung der Durchführung des Beschlusses (EU, Euratom) 2015/444, insbesondere Kapitel 6 des genannten Beschlusses.

(2)   In diesem Beschluss werden spezifische Anforderungen festgelegt, um den Schutz von EU-Verschlusssachen (EU-VS) durch die Wirtschaftsteilnehmer in der vorvertraglichen Phase, während des gesamten Lebenszyklus der von der Europäischen Kommission geschlossenen, als Verschlusssache eingestuften Verträge und in den von den Auftragnehmern der Kommission geschlossenen Unterverträgen zu gewährleisten.

(3)   Dieser Beschluss betrifft Verschlusssachen folgender Ebenen:

(1)   Im Rahmen der in der Haushaltsordnung (8) beschriebenen Aufgaben stellt jeder Anweisungsbefugte der Kommission in ihrer Eigenschaft als öffentlicher Auftraggeber sicher, dass in dem als Verschlusssache eingestuften Vertrag auf die in Kapitel 6 des Beschlusses (EU, Euratom) 2015/444 und in diesen Durchführungsbestimmungen sowie gegebenenfalls in der Auftragsbekanntmachung oder in der Aufforderung zur Angebotsabgabe festgelegten Mindestnormen für den Geheimschutz in der Wirtschaft verwiesen wird und dass diese Normen bei der Durchführung eingehalten werden.

(2)   Zu diesem Zweck zieht der zuständige Anweisungsbefugte in allen Phasen die Sicherheitsstelle der Kommission zu Fragen im Zusammenhang mit den Sicherheitselementen eines als Verschlusssache eingestuften Auftrags, Programms oder Projekts zu Rate und unterrichtet den örtlichen Sicherheitsbeauftragten über die abgeschlossenen Verträge. Die Entscheidung über den Geheimhaltungsgrad bestimmter Aspekte liegt beim öffentlichen Auftraggeber und wird unter gebührender Berücksichtigung des Einstufungsleitfadens für Verschlusssachen getroffen.

(3)   Unter Einhaltung der Anforderungen dieser Durchführungsbestimmungen arbeitet die Sicherheitsstelle der Kommission eng mit den nationalen Sicherheitsbehörden und den beauftragten Sicherheitsbehörden der betroffenen Mitgliedstaaten zusammen, insbesondere in Bezug auf Sicherheitsbescheide für Einrichtungen sowie Sicherheitsüberprüfungen von Personal, Besuchsverfahren und Beförderungspläne.

(1)   Als Verschlusssache eingestufte Verträge werden nur an in einem Mitgliedstaat registrierte Wirtschaftsteilnehmer oder an in einem Drittstaat registrierte oder von einer internationalen Organisation gegründete Wirtschaftsteilnehmer vergeben, wenn der betreffende Drittstaat oder die betreffende internationale Organisation ein Geheimschutzabkommen mit der Europäischen Union oder eine Verwaltungsvereinbarung mit der Kommission geschlossen hat (9).

(2)   Vor der Ausschreibung eines als Verschlusssache eingestuften Auftrags legt der öffentliche Auftraggeber den Geheimhaltungsgrad der Informationen fest, die den Bietern zur Verfügung gestellt werden könnten. Der öffentliche Auftraggeber legt zudem die maximale Sicherheitseinstufung von Informationen, die bei der Durchführung des Auftrags, Programms oder Projekts generiert werden, oder zumindest die voraussichtliche Menge und Art der zu produzierenden oder zu bearbeitenden Informationen sowie die Notwendigkeit eines Kommunikations- und Informationssystems für Verschlusssachen fest.

(3)   Der öffentliche Auftraggeber stellt sicher, dass die Auftragsbekanntmachung für als Verschlusssache eingestufte Verträge Informationen über die besonderen Sicherheitsanforderungen für Verschlusssachen enthält. Anhang I enthält ein Muster für entsprechende Informationen in Auftragsbekanntmachungen.

(4)   Der öffentliche Auftraggeber stellt sicher, dass Verschlusssachen des Geheimhaltungsgrads „RESTREINT UE/EU RESTRICTED“, „CONFIDENTIEL UE/EU CONFIDENTIAL“ und „SECRET UE/EU SECRET“ den Bietern erst offengelegt werden, nachdem sie eine Geheimhaltungsvereinbarung unterzeichnet haben, mit der sie verpflichtet werden, EU-VS gemäß dem Beschluss (EU, Euratom) 2015/444 und seinen Durchführungsbestimmungen zu bearbeiten und zu schützen.

(5)   Alle Auftragnehmer, die gehalten sind, Informationen des Geheimhaltungsgrads „CONFIDENTIEL UE/EU CONFIDENTIAL“ oder „SECRET UE/EU SECRET“ innerhalb ihrer Räumlichkeiten zu bearbeiten oder aufzubewahren, sei es während der Erfüllung des als Verschlusssache eingestuften Vertrags selbst oder in der vorvertraglichen Phase, müssen in Besitz eines entsprechenden Sicherheitsbescheids für Einrichtungen sein. Im Folgenden werden die drei Szenarien beschrieben, die während der Ausschreibungsphase für einen als Verschlusssache eingestuften Vertrag, der EU-VS der Geheimhaltungsgrade „CONFIDENTIEL UE/EU CONFIDENTIAL“ oder „SECRET UE/EU SECRET“ umfasst, auftreten können:

(6)   Grundsätzlich ist für den Zugang zu als „RESTREINT UE/EU RESTRICTED“ eingestuften Verschlusssachen weder in der Ausschreibungsphase noch bei der Ausführung des Auftrags ein Sicherheitsbescheid für Einrichtungen erforderlich. Verlangen Mitgliedstaaten — wie in Anhang IV aufgelistet — nach Maßgabe ihrer nationalen Rechtsvorschriften für Aufträge oder Unteraufträge des Geheimhaltungsgrads RESTREINT UE/EU RESTRICTED einen Sicherheitsbescheid für Einrichtungen, so dürfen diese nationalen Anforderungen anderen Mitgliedstaaten keine zusätzlichen Verpflichtungen auferlegen oder Bieter, Auftragnehmer oder Unterauftragnehmer aus Mitgliedstaaten, die für den Zugang zu Informationen des Geheimhaltungsgrads RESTREINT UE/EU RESTRICTED keinen Sicherheitsbescheid für Einrichtungen verlangen, nicht von entsprechenden Aufträgen/Unteraufträgen oder von diese betreffenden Vergabeverfahren ausgeschlossen werden. Diese Aufträge werden in den Mitgliedstaaten im Einklang mit ihren nationalen Rechtsvorschriften ausgeführt.

(7)   Ist für die Ausführung eines als Verschlusssache eingestuften Vertrags ein Sicherheitsbescheid für Einrichtungen erforderlich, so richtet der öffentliche Auftraggeber über die Sicherheitsstelle der Kommission unter Verwendung eines Auskunftsformulars betreffend einen Sicherheitsbescheid für Einrichtungen ein Ersuchen an die nationale Sicherheitsbehörde/beauftragte Sicherheitsbehörde des Auftragnehmers. Anhang III Unteranhang D enthält ein Muster eines entsprechenden Auskunftsformulars (10). Der als Verschlusssache eingestufte Auftrag wird erst erteilt, wenn die nationale Sicherheitsbehörde/beauftragte Sicherheitsbehörde des Auftragnehmers bestätigt hat, dass der Bieter über einen Sicherheitsbescheid für Einrichtungen verfügt. Die Antwort auf ein entsprechendes Ersuchen erfolgt nach Möglichkeit innerhalb von zehn Arbeitstagen ab dem Datum der Übermittlung des Ersuchens.

(1)   Die Bedingungen, unter denen ein Auftragnehmer, der den Zuschlag für einen als Verschlusssache eingestuften Auftrag der Kommission erhalten hat, Unteraufträge vergeben kann, sind in der Aufforderung zur Angebotsabgabe und in den Ausschreibungsunterlagen festzulegen. Ist gemäß dem als Verschlusssache eingestuften Vertrag die Vergabe von Unteraufträgen für Teile des Auftrags zulässig, so unterliegt diese Unterauftragsvergabe der vorherigen schriftlichen Zustimmung des öffentlichen Auftraggebers. Bevor der öffentliche Auftraggeber seine Zustimmung erteilt, zieht er die Sicherheitsstelle der Kommission zurate.

(2)   Unteraufträge im Rahmen von als Verschlusssache eingestuften Verträgen werden nur an in einem Mitgliedstaat registrierte Wirtschaftsteilnehmer oder an in einem Drittstaat registrierte oder von einer internationalen Organisation gegründete Wirtschaftsteilnehmer vergeben, wenn der betreffende Drittstaat oder die betreffende internationale Organisation ein Geheimschutzabkommen mit der EU oder eine Verwaltungsvereinbarung mit der Kommission geschlossen hat (11).

(1)   Bei der Vergabe eines als Verschlusssache eingestuften Vertrags stellt der öffentliche Auftraggeber zusammen mit der Sicherheitsstelle der Kommission sicher, dass die Pflichten des Auftragnehmers in Bezug auf den Schutz von EU-VS, die dem Auftragnehmer bereitgestellt oder die bei der Ausführung des Auftrags generiert werden, fester Bestandteil des Auftrags sind. Die auftragsspezifischen Sicherheitsanforderungen werden in Form einer Geheimschutzklausel festgelegt. Ein Muster einer Geheimschutzklausel ist in Anhang III enthalten.

(2)   Vor der Unterzeichnung eines als Verschlusssache eingestuften Vertrags verfasst der öffentliche Auftraggeber nach Rücksprache mit der Sicherheitsstelle der Kommission einen Einstufungsleitfaden für Verschlusssachen für die wahrzunehmenden Aufgaben und die Informationen, die bei der Durchführung des Vertrags, des Programms oder des Projekts generiert werden. Dieser Leitfaden ist Teil der Geheimschutzklausel.

(3)   Programm- oder projektspezifische Sicherheitsanforderungen werden in Form von Programm- oder Projektsicherheitsanweisungen festgelegt. Die Programm- oder Projektsicherheitsanweisungen können unter Nutzung des Musters einer Geheimschutzklausel in Anhang III abgefasst werden. Sie werden von der für die Verwaltung des Programms oder Projekts zuständigen Kommissionsdienststelle in enger Zusammenarbeit mit der Sicherheitsstelle der Kommission entwickelt und der Sicherheitsexpertengruppe der Kommission zur Stellungnahme vorgelegt. Ist ein Vertrag Teil eines Programms oder Projekts mit eigenen Programm- oder Projektsicherheitsanweisungen, so erhält die Geheimschutzklausel eine vereinfachte Form und enthält einen Verweis auf die Sicherheitsbestimmungen der betreffenden Programm- oder Projektsicherheitsanweisungen.

(4)   Der öffentliche Auftraggeber gilt als Herausgeber von Verschlusssachen, die für die Ausführung des Auftrags erstellt und bearbeitet wurden.

(5)   Der öffentliche Auftraggeber unterrichtet über die Sicherheitsstelle der Kommission die nationalen Sicherheitsbehörden/beauftragten Sicherheitsbehörden aller Auftragnehmer und Unterauftragnehmer über den Abschluss von als Verschlusssache eingestuften Verträgen oder Unterverträgen sowie über eine etwaige Verlängerung oder vorzeitige Kündigung derartiger Verträge oder Unterverträge. Anhang IV enthält eine Liste der länderspezifischen Anforderungen.

(6)   Verträge, die Verschlusssachen des Geheimhaltungsgrads „RESTREINT UE/EU RESTRICTED“ umfassen, enthalten eine Sicherheitsklausel, mit der die Bestimmungen von Anhang III Unteranhang E für den Auftragnehmer verbindlich werden. Diese Verträge umfassen eine Geheimschutzklausel, in der Mindestanforderungen für die Bearbeitung von Verschlusssachen des Geheimhaltungsgrads „RESTREINT UE/EU RESTRICTED“, die auch auf Aspekte der Informationssicherung eingehen, sowie besondere Anforderungen festgelegt werden, die der vom öffentlichen Auftraggeber beauftragte Auftragnehmer zur Akkreditierung seines Kommunikations- und Informationssystems, mit dem Verschlusssachen des Geheimhaltungsgrads „RESTREINT UE/EU RESTRICTED“ bearbeitet werden, erfüllen muss.

(7)   Erhalten Bieter oder potenzielle Auftragnehmer Informationen des Geheimhaltungsgrads RESTREINT UE/EU RESTRICTED, so werden die in Absatz 6 genannten Mindestanforderungen in Angebote oder Geheimhaltungsvereinbarungen aufgenommen, die in der Ausschreibungsphase geschlossen werden.

(8)   Soweit dies aufgrund der nationalen Rechtsvorschriften der Mitgliedstaaten erforderlich ist, stellen die nationalen Sicherheitsbehörden/beauftragten Sicherheitsbehörden sicher, dass die ihrer Hoheitsgewalt unterstehenden Auftragnehmer oder Unterauftragnehmer die geltenden Sicherheitsbestimmungen für den Schutz von als „RESTREINT UE/EU RESTRICTED“ eingestuften Verschlusssachen einhalten, und führen Kontrollen bei in ihrem Hoheitsgebiet gelegenen Einrichtungen von Auftragnehmern durch. Besteht für die nationale Sicherheitsbehörde/beauftragte Sicherheitsbehörde keine derartige Verpflichtung, stellt der öffentliche Auftraggeber sicher, dass der Auftragnehmer die in Anhang III festgelegten Sicherheitsbestimmungen umsetzt.

(1)   Die Kommissionsdienststelle in ihrer Eigenschaft als öffentlicher Auftraggeber stellt sicher, dass als Verschlusssache eingestufte Verträge Bestimmungen enthalten, die vorsehen, dass Mitarbeitern von Auftragnehmern oder Unterauftragnehmern, die für die Ausführung des als Verschlusssache eingestuften Auftrags oder Unterauftrags Zugang zu EU-VS benötigen, ein entsprechender Zugang nur dann gewährt werden kann, wenn

(2)   Will ein Auftragnehmer oder Unterauftragnehmer einen Drittstaatsangehörigen in einer Position beschäftigen, die den Zugang zu Verschlusssachen des Geheimhaltungsgrads „CONFIDENTIEL UE/EU CONFIDENTIAL“ oder „SECRET UE/EU SECRET“ erfordert, so liegt es in der Verantwortung des Auftragnehmers oder Unterauftragnehmers, gemäß den Rechtsvorschriften, die an dem Ort gelten. an dem der Zugang zu den EU-VS gewährt werden soll, das Verfahren zur Sicherheitsüberprüfung der betreffenden Person einzuleiten.

(1)   Benötigen die Kommission, die Auftragnehmer oder die Unterauftragnehmer zur Ausführung eines als Verschlusssache eingestuften Vertrags Zugang zu Informationen des Geheimhaltungsgrads „CONFIDENTIEL UE/EU CONFIDENTIAL“ oder „SECRET UE/EU SECRET“ in den Räumlichkeiten des jeweils anderen, werden im Benehmen mit der jeweiligen nationalen Sicherheitsbehörde/beauftragten Sicherheitsbehörde oder einer anderen zuständigen Sicherheitsbehörde Besuche vereinbart.

(2)   Für die in Absatz 1 genannten Besuche gelten folgende Anforderungen:

(1)   Besuche von Auftragnehmern in Einrichtungen anderer Auftragnehmer oder in Räumlichkeiten der Kommission, bei denen Zugang zu Verschlusssachen des Geheimhaltungsgrads „CONFIDENTIEL UE/EU CONFIDENTIAL“ oder „SECRET UE/EU SECRET“ gewährt werden soll, werden nach folgendem Verfahren vereinbart:

(2)   Besuche von Beamten der Kommission in Einrichtungen des Auftragnehmers, die einen Zugang zu Verschlusssachen des Geheimhaltungsgrads „CONFIDENTIEL UE/EU CONFIDENTIAL“ oder „SECRET UE/EU SECRET“ umfassen, werden nach folgendem Verfahren vereinbart:

(3)   Ein Besuchsantrag kann sich auf einen einmaligen Besuch oder auf wiederholte Besuche erstrecken. Bei wiederholten Besuchen kann der Besuchsantrag eine Gültigkeit von bis zu einem Jahr ab dem im Antrag angegebenen Datum haben.

(4)   Die Gültigkeit eines Besuchsantrags darf die Gültigkeit der Sicherheitsüberprüfung des Besuchers nicht überschreiten.

(5)   Grundsätzlich sollte ein Besuchsantrag spätestens 15 Arbeitstage vor dem Datum des Besuchs an die zuständige Sicherheitsbehörde der empfangenden Einrichtung übermittelt werden.

(1)   Bevor Besuchern Zugang zu EU-VS gewährt wird, hält der Sicherheitsbeauftragte der empfangenden Einrichtung alle von der nationalen Sicherheitsbehörde/beauftragten Sicherheitsbehörde festgelegten besuchsbezogenen Sicherheitsverfahren und -vorschriften ein.

(2)   Besucher weisen ihre Identität bei der Ankunft in der empfangenden Einrichtung nach, indem sie einen gültigen Personalausweis oder Reisepass vorlegen. Diese Identitätsangaben müssen den Angaben im Besuchsantrag entsprechen.

(3)   Die empfangende Einrichtung stellt sicher, dass von allen Besuchern insbesondere ihre Namen, die von ihnen vertretene Organisation, das Ablaufdatum ihrer Sicherheitsüberprüfung, das Datum des Besuchs und die Namen der besuchten Personen aufgezeichnet werden. Diese Aufzeichnungen werden für einen Zeitraum von mindestens fünf Jahren oder länger aufbewahrt, wenn die nationalen Rechtsvorschriften des Landes, in dem sich die empfangende Einrichtung befindet, dies vorschreiben.

(1)   Im Zusammenhang mit spezifischen Projekten können die jeweiligen nationalen Sicherheitsbehörden/beauftragten Sicherheitsbehörden und die Sicherheitsstelle der Kommission ein Verfahren vereinbaren, nach dem Besuche im Rahmen eines bestimmten, als Verschlusssache eingestuften Vertrags unmittelbar zwischen dem Sicherheitsbeauftragten des Besuchers und dem Sicherheitsbeauftragten der zu besuchenden Einrichtung verabredet werden können. Ein Muster des zu diesem Zweck zu verwendenden Formulars ist in Anhang III Unteranhang C enthalten. In diesen Fällen finden die Verfahren nach Artikel 8 und Artikel 9 Absatz 1 keine Anwendung.

(2)   Besuche, die mit einem Zugang zu Verschlusssachen des Geheimhaltungsgrads „RESTREINT UE/EU RESTRICTED“ einhergehen, werden unmittelbar zwischen der entsendenden und der empfangenden Einrichtung vereinbart, ohne dass die Verfahren nach Artikel 8 und Artikel 9 Absatz 1 befolgt werden müssen.

(1)   Die elektronische Bearbeitung und Übermittlung von EU-VS erfolgt gemäß den Kapiteln 5 und 6 des Beschlusses (EU, Euratom) 2015/444 und seinen Durchführungsbestimmungen.

Die Kommunikations- und Informationssysteme, die sich im Besitz eines Auftragnehmers befinden und bei der Ausführung des Auftrags zur Bearbeitung von EU-VS genutzt werden, unterliegen der Akkreditierung durch die zuständige Sicherheitsakkreditierungsstelle. Jedwede elektronische Übermittlung von EU-VS wird durch kryptografische Produkte geschützt, die nach Artikel 36 Absatz 4 des Beschlusses (EU, Euratom) 2015/444 zugelassen wurden. TEMPEST-Maßnahmen werden nach Artikel 36 Absatz 6 des genannten Beschlusses durchgeführt.

(2)   Die Sicherheitsakkreditierung des Kommunikations- und Informationssystems des Auftragnehmers, mit dem EU-VS des Geheimhaltungsgrads „RESTREINT UE/EU RESTRICTED“ bearbeitet werden sollen, und jeder Zusammenschaltung dieses Systems mit anderen Systemen kann dem Sicherheitsbeauftragten des Auftragnehmers übertragen werden, wenn dies nach den nationalen Rechtsvorschriften zulässig ist. Im Fall einer Übertragung dieser Aufgabe ist der Auftragnehmer verantwortlich für die Umsetzung der in der Geheimschutzklausel beschriebenen Mindestsicherheitsanforderungen, wenn er als „RESTREINT UE/EU RESTRICTED“ eingestufte Verschlusssachen in seinem Kommunikations- und Informationssystem bearbeitet. Die betreffenden nationalen Sicherheitsbehörden/beauftragten Sicherheitsbehörden und Sicherheitsakkreditierungsstellen behalten jedoch die Zuständigkeit für den Schutz von Verschlusssachen des Geheimhaltungsgrads RESTREINT UE/EU RESTRICTED, die vom Auftragnehmer bearbeitet werden, sowie das Recht, die von den Auftragnehmern ergriffenen Sicherheitsmaßnahmen zu kontrollieren. Darüber hinaus legt der Auftragnehmer dem öffentlichen Auftraggeber und, sofern dies aufgrund der nationalen Rechtsvorschriften vorgeschrieben ist, der zuständigen nationalen Sicherheitsakkreditierungsstelle eine Konformitätserklärung vor, mit der bescheinigt wird, dass das Kommunikations- und Informationssystem sowie damit verbundene Zusammenschaltungen des Auftragnehmers für die Bearbeitung von EU-VS des Geheimhaltungsgrads „RESTREINT UE/EU RESTRICTED“ (12) akkreditiert wurden.

(1)   Für die Beförderung von Verschlusssachen als Handgepäck gelten strenge Sicherheitsanforderungen.

(2)   Als RESTREINT UE/EU RESTRICTED eingestufte Verschlusssachen dürfen von Mitarbeitern des Auftragnehmers in der EU als Handgepäck mitgeführt werden, sofern die folgenden Anforderungen erfüllt sind:

(3)   Bei als „CONFIDENTIEL UE/EU CONFIDENTIAL“ und „SECRET UE/EU SECRET“ eingestuften Verschlusssachen wird die Beförderung durch Mitarbeiter des Auftragnehmers in einem EU-Mitgliedstaat im Voraus zwischen der Ausgangs- und der Eingangsstelle vereinbart. Die Ausgangsstelle unterrichtet die Eingangsstelle über die Einzelheiten der Sendung, darunter das Aktenzeichen, die Einstufung, die voraussichtliche Ankunftszeit und den Namen des Kurierdienstes. Die Beförderung als Handgepäck ist zulässig, sofern die folgenden Anforderungen erfüllt sind:

(4)   Für die manuelle Beförderung von Verschlusssachen der Geheimhaltungsgrade „CONFIDENTIEL UE/EU CONFIDENTIAL“ und „SECRET UE/EU SECRET“ durch den Auftragnehmer von einem EU-Mitgliedstaat in einen anderen gelten die folgenden zusätzlichen Regeln:

Wird eine Sendung durch den Zoll geöffnet, so sollte dies unter Ausschluss unbefugter Personen und nach Möglichkeit in Anwesenheit des Kurierdienstes erfolgen. Der Kurierdienst veranlasst die Neuverpackung der Sendung und fordert die für die Kontrolle zuständigen Behörden auf, die Sendung neu zu versiegeln und schriftlich zu bestätigen, dass die Sendung durch sie geöffnet wurde.

(5)   Die manuelle Beförderung von Verschlusssachen des Geheimhaltungsgrads „RESTREINT UE/EU RESTRICTED“, „CONFIDENTIEL UE/EU CONFIDENTIAL“ und „SECRET UE/EU SECRET“ durch Mitarbeiter des Auftragnehmers in einen Drittstaat oder zu einer internationalen Organisation unterliegt den Bestimmungen des Geheimschutzabkommens zwischen der Europäischen Union und dem betreffenden Drittstaat oder der betreffenden internationalen Organisation bzw. den Bestimmungen der Verwaltungsvereinbarung zwischen der Kommission und dem Drittstaat oder der internationalen Organisation.