SOPIMUS POHJOIS-ATLANTIN SOPIMUKSEN OSAPUOLTEN VÄLILLÄ TIETOTURVALLISUUDESTA 

Washingtonissa 4 päivänä huhtikuuta 1949 allekirjoitetun Pohjois-Atlantin sopimuksen osapuolet, jotka 

vahvistavat, että tehokas poliittinen neuvottelu, yhteistyö ja suunnittelu puolustusasioissa sopimuksen tavoitteiden saavuttamiseksi edellyttävät turvallisuusluokitellun tiedon vaihtamista osapuolten välillä, 

katsovat, että Pohjois-Atlantin sopimuksen osapuolten hallitusten välillä tarvitaan määräyksiä sellaisen turvallisuusluokitellun tiedon vastavuoroisesta suojaamisesta ja turvaamisesta, jota ne voivat vaihtaa keskenään, 

ymmärtävät, että turvallisuusvaatimuksille ja menettelyille tarvitaan yleiset puitteet, ja 

toimivat omasta puolestaan ja Pohjois-Atlantin liiton puolesta,  

ovat sopineet seuraavasta: 

1 artikla 

Osapuolet 

i. suojaavat ja turvaavat 

a. turvallisuusluokitelluksi merkityn turvallisuusluokitellun tiedon (katso liite I), jonka alkuperäinen luovuttaja on Nato (katso liite II) tai jonka jäsenvaltio toimittaa Natolle, 

b. jäsenvaltioiden turvallisuusluokitelluksi merkityn turvallisuusluokitellun tiedon, joka toimitetaan toiselle jäsenvaltiolle Naton ohjelman, hankkeen tai sopimuksen tueksi, 

ii. säilyttävät edellä i alakohdassa määritellyn tiedon turvallisuusluokituksen ja pyrkivät kaikin keinoin turvaamaan tiedon tämän mukaisesti; 

iii. eivät käytä edellä i alakohdassa määriteltyä turvallisuusluokiteltua tietoa muihin kuin Pohjois-Atlantin sopimuksessa ja siihen liittyvissä päätöksissä ja päätöslauselmissa määrättyihin tarkoituksiin; 

iv. eivät ilmaise edellä i alakohdassa määriteltyä tietoa Natoon kuulumattomille osapuolille ilman tiedon alkuperäisen luovuttajan suostumusta. 

2 artikla 

Tämän sopimuksen 1 artiklan mukaisesti osapuolet varmistavat kansallisen turvallisuusviranomaisen perustamisen Naton toimintaa varten toteuttamaan suojaavia turvatoimia. Osapuolet laativat ja panevat täytäntöön turvallisuusvaatimuksia, joilla varmistetaan turvallisuusluokitellun tiedon yhteinen suojaustaso. 

3 artikla 

1. Osapuolet varmistavat, että kaikista niiden kansalaisista, jotka virallisia tehtäviään hoitaessaan tarvitsevat tai saattavat saada pääsyn turvallisuusluokkaan CONFIDENTIAL ja sitä ylempiin turvallisuusluokkiin kuuluvaan tietoon, tehdään asianmukaisesti turvallisuusselvitys ennen kuin he ottavat tehtävänsä vastaan. 

2. Turvallisuusselvitysmenettelyt suunnitellaan sellaisiksi, että niillä pystytään selvittämään, voiko henkilö hänen lojaliteettinsa ja luotettavuutensa huomioon ottaen saada pääsyn turvallisuusluokiteltuun tietoon ilman, että siitä aiheutuu turvallisuusriski, jota ei voida hyväksyä. 

3. Osapuolet tekevät pyydettäessä yhteistyötä muiden osapuolten kanssa niiden turvallisuusselvitysmenettelyjä suoritettaessa. 

4 artikla 

Pääsihteeri varmistaa, että Nato soveltaa tämän sopimuksen kulloinkin sovellettavia määräyksiä (katso liite III). 

5 artikla 

Tämä sopimus ei millään tavoin estä osapuolia tekemästä muita sopimuksia, jotka liittyvät niiden luovuttaman turvallisuusluokitellun tiedon vaihtamiseen eivätkä vaikuta tämän sopimuksen soveltamisalaan. 

6 artikla 

a. Tämä sopimus on avoinna allekirjoittamista varten Pohjois-Atlantin sopimuksen osapuolille, ja se ratifioidaan tai hyväksytään. Ratifioimis- tai hyväksymiskirjat talletetaan Amerikan yhdysvaltojen hallituksen huostaan. 

b. Tämä sopimus tulee voimaan kolmenkymmenen päivän kuluttua päivästä, jona kaksi allekirjoittajavaltiota on tallettanut ratifioimis- tai hyväksymiskirjansa. Sopimus tulee voimaan kunkin muun allekirjoittajavaltion osalta kolmenkymmenen päivän kuluttua kunkin valtion ratifioimis- tai hyväksymiskirjan tallettamisesta. 

c. Niiden osapuolten suhteen, joiden osalta tämä sopimus on tullut voimaan, sopimus korvaa Pohjois-Atlantin liiton osapuolten turvallisuussopimuksen, jonka Pohjois-Atlantin neuvosto hyväksyi asiakirjan D.C.2/7 liitteessä olevan lisäyksen liitteessä A (1 kohta) 19 päivänä huhtikuuta 1952 ja joka myöhemmin sisällytettiin Pohjois-Atlantin neuvoston 2 päivänä maaliskuuta 1955 hyväksymän asiakirjan C-M (55) 15 (final) liitteeseen A (1 kohta). 

7 artikla 

Tämä sopimus on avoinna liittymistä varten Pohjois-Atlantin sopimuksen uudelle osapuolelle sen valtiosäännön mukaisten menettelyjen mukaisesti. Tämän osapuolen liittymiskirja talletetaan Amerikan yhdysvaltojen hallituksen huostaan. Sopimus tulee voimaan kunkin liittyvän valtion osalta kolmenkymmenen päivän kuluttua sen liittymiskirjan tallettamispäivästä. 

8 artikla 

Amerikan yhdysvaltojen hallitus ilmoittaa muiden osapuolten hallituksille kunkin ratifioimis-, hyväksymis- tai liittymiskirjan tallettamisesta. 

9 artikla 

Osapuoli voi irtisanoa tämän sopimuksen antamalla kirjallisen irtisanomisilmoituksen tallettajalle, joka ilmoittaa irtisanomisilmoituksesta kaikille muille osapuolille. Irtisanominen tulee voimaan vuoden kuluttua siitä, kun tallettaja on vastaanottanut ilmoituksen, mutta ei vaikuta niihin velvoitteisiin, oikeuksiin tai valtaoikeuksiin, joita osapuolet ovat aiemmin sopineet tai saaneet tämän sopimuksen määräysten perusteella. 

Tämän vakuudeksi allekirjoittaneet, hallitustensa siihen asianmukaisesti valtuuttamina, ovat allekirjoittaneet tämän sopimuksen. 

Tehty Brysselissä 6 päivänä maaliskuuta 1997 yhtenä englannin- ja ranskankielisenä kappaleena, jonka kaikki tekstit ovat yhtä todistusvoimaiset, joka talletetaan Amerikan yhdysvaltojen hallituksen arkistoon ja josta tämä hallitus toimittaa oikeaksi todistetut jäljennökset kaikille muille allekirjoittajille. 

Liite I 

Tämä liite on sopimuksen erottamaton osa. 

Naton turvallisuusluokiteltu tieto määritellään seuraavasti: 

a. "tieto" tarkoittaa missä tahansa muodossa välitettävää tietoa; 

b. turvallisuusluokiteltu tieto tarkoittaa tietoa tai aineistoa, jonka katsotaan edellyttävän suojaamista luvattomalta paljastamiselta ja joka on turvallisuusluokituksella osoitettu sellaiseksi; 

c) ”aineisto” sisältää asiakirjat ja myös valmistetut ja valmisteilla olevat koneet, laitteet ja aseet; 

d) ”asiakirja” tarkoittaa mitä tahansa tallennettua tietoa riippumatta sen fyysisestä muodosta tai ominaisuuksista, mukaan lukien kirjalliset ja painotuotteet; tietojenkäsittelyssä käytettävät kortit ja nauhat; kartat, kaaviot, valokuvat, maalaukset, piirustukset, kaiverrukset, luonnokset, työmuistiinpanot ja –paperit, hiilipaperikopiot ja värinauhat; millä tahansa keinolla tai menettelyllä tehdyt jäljennökset; kaikenlaiset ääni-, puhe- ja magneettitallenteet sekä elektroniset, optiset ja videotallenteet; kannettavat atk-laitteet, joissa on kiinteät tallennusvälineet, ja irrotettavat tietokoneen tallennusvälineet, mutta ei rajoittuen näihin. 

Liite II 

Tämä liite on sopimuksen erottamaton osa. 

Tässä sopimuksessa ”Nato” tarkoittaa Pohjois-Atlantin liittoa ja niitä elimiä, joihin sovelletaan joko Ottawassa 20 päivänä syyskuuta 1951 allekirjoitettua sopimusta Pohjois-Atlantin liiton, kansallisten edustajien ja kansainvälisen henkilöstön asemasta tai Pariisissa 28 päivänä elokuuta 1952 allekirjoitettua pöytäkirjaa Pohjois-Atlantin sopimuksen mukaisesti perustettujen kansainvälisten sotilasesikuntien asemasta. 

Liite III 

Tämä liite on sopimuksen erottamaton osa. 

Sotilaskomentajien kanssa neuvotellaan heidän valtaoikeuksiensa kunnioittamiseksi. 

AGREEMENT BETWEEN THE PARTIES TO THE NORTH ATLANTIC TREATY FOR THE SECURITY OF INFORMATION 

The Parties to the North Atlantic Treaty, signed at Washington on 4th April, 1949. 

Reaffirming that effective political consultation, cooperation and planning for defence in achieving the objectives of the Treaty entail the exchange of classified information among the Parties. 

Considering that provisions between the Governments of the Parties to the North Atlantic Treaty for the mutual protection and safeguarding of the classified information they may interchange are necessary. 

Realising that a general framework for security standards and procedures is required. 

Acting on their own behalf and on behalf of the North Atlantic Treaty Organization,  

have agreed as follows: 

Article 1 

The Parties shall: 

(i) protect and safeguard: 

(a) classified information (see Annex I), marked as such, which is originated by NATO (see Annex II) or which is submitted to NATO by a member state; 

(b) classified information, marked as such, of the member states submitted to another member state in support of a NATO programme, project, or contract, 

(ii) maintain the security classification of information as defined under (i) above and make every effort to safeguard it accordingly; 

(iii) not use classified information as defined under (i) above for purposes other than those laid down in the North Atlantic Treaty and the decisions and resolutions pertaining to that Treaty; 

(iv) not disclose such information as defined under (i) above to non-NATO Parties without the consent of the originator. 

Article 2 

Pursuant to Article 1 of this Agreement, the Parties shall ensure the establishment of a National Security Authority for NATO activities which shall implement protective security measures. The Parties shall establish and implement security standards which shall ensure a common degree of protection for classified information. 

Article 3 

(1) The Parties shall ensure that all persons of their respective nationality who, in the conduct of their official duties, require or may have access to information classified CONFIDENTIAL and above are appropriately cleared before they take up their duties. 

(2) Security clearance procedures shall be designed to determine whether an individual can, taking into account his or her loyalty and trustworthiness, have access to classified information without constituting an unacceptable risk to security. 

(3) Upon request, each of the Parties shall cooperate with the other Parties in carrying out their respective security clearance procedures. 

Article 4 

The Secretary General shall ensure that the relevant provisions of this Agreement are applied by NATO (see Annex III). 

Article 5 

The present Agreement in no way prevents the Parties from making other Agreements relating to the exchange of classified information originated by them and not affecting the scope of the present Agreement. 

Article 6 

(a) This Agreement shall be open for signature by the Parties to the North Atlantic Treaty and shall be subject to ratification, acceptance or approval. The instruments of ratification, acceptance or approval shall be deposited with the Government of the United States of America; 

(b) This Agreement shall enter into force thirty days after the date of deposit by two signatory States of their instruments of ratification, acceptance or approval. It shall enter into force for each other signatory State thirty days after the deposit of its instrument of ratification, acceptance or approval; 

(c) This Agreement shall with respect to the Parties for which it entered into force supersede the "Security Agreement by the Parties to the North Atlantic Treaty Organization" approved by the North Atlantic Council in Annex A (paragraph 1) to Appendix to Enclosure to D.C.2/7, on 19th April, 1952, and subsequently incorporated in Enclosure "A" (paragraph 1) to C-M(55)15(Final), approved by the North Atlantic Council on 2nd March, 1955. 

Article 7 

This Agreement shall remain open for accession by any new Party to the North Atlantic Treaty, in accordance with its own constitutional procedures. Its instrument of accession shall be deposited with the government of the United States of America. It shall enter into force in respect of each acceding State thirty days after the day of the deposit of its instrument of accession. 

Article 8 

The Government of the United States of America shall inform the Governments of the other Parties of the deposit of each instrument of ratification, acceptance, approval or accession. 

Article 9 

This Agreement may be denounced by written notice of denunciation by any Party given to the depository which shall inform all the other Parties of such notice. Such denunciation shall take effect one year after receipt of notification by the depository, but shall not affect obligations already contracted and the rights or prerogatives previously acquired by the Parties under the provisions of this Agreement. 

In witness whereof the undersigned, duly authorized to this effect by their respective Governments, have signed this Agreement. 

Done in Brussels, this 6th day of March, 1997 in a single copy in the English and French languages, each text being equally authoritative, which shall be deposited in the archives of the Government of the United States of America and of which certified copies shall be transmitted by that Government to each of the other signatories. 

Annex I 

This Annex forms an integral part of the Agreement. 

NATO classified information is defined as follows: 

(a) information means knowledge that can be communicated in any form; 

(b) classified information means information or material determined to require protection against unauthorized disclosure which has been so designated by security classification; 

(c) the word "material" includes documents and also any item of machinery or equipment or weapons either manufactured or in the process of manufacture; 

(d) the word "document" means any recorded information regardless of its physical form or characteristics, including, without limitation, written or printed matter, data processing cards and tapes, maps, charts, photographs, paintings, drawings, engravings, sketches, working notes and papers, carbon copies and ink ribbons, or reproductions by an means or process, and sound, voice, magnetic or electronic or optical or video recordings in any form, and portable ADP equipment with resident computer storage media, and removable computer storage media. 

Annex II 

This Annex forms an integral part of the Agreement. 

For the purposes of the present Agreement, the term "NATO" denotes the North Atlantic Treaty Organization and the bodies governed either by the Agreement on the status of the North Atlantic Treaty Orgnization, National Representatives and International Staff, signed in Ottawa on 20th September, 1951 or by the Protocol on the status of International Military Headquarters set up pursuant to the North Atlantic Treaty, signed in Paris on 28th August, 1952. 

Annex III 

This Annex forms an integral part of the Agreement. 

Consultation takes place with military commanders in order to respect their prerogatives. 

20. marraskuuta 2020 ASIAKIRJA 

C-M(2002)49-REV1 

TURVALLISUUS POHJOIS-ATLANTIN LIITOSSA (NATO) 

Pääsihteerin ilmoitus 

Kesäkuun 17. päivänä 2002 päivätyn asiakirjan C-M(2002)49 ensimmäinen tarkistus 

Viite: Asiakirja C-M(2002)49-COR1–COR12 (konsolidoitu toisinto), päivätty 17. kesäkuuta 2002 

1. Tämä asiakirja perustuu Naton turvallisuussäännöstön ja sitä tukevien ohjeiden merkittävään ja kokonaisvaltaiseen tarkistukseen sellaisena kuin turvallisuuskomitea on sen hyväksynyt. 

2. Asiakirjalla C-M(2002)49-REV1, joka korvaa viitteessä mainitun asiakirjan, tehdään viiteasiakirjaan sekä rakenteellisia että sisällöllisiä muutoksia. 

3. Rakennetta on muutettu lisäämällä uusi liite H, jossa käsitellään erikseen turvallisuutta suhteissa Naton ulkopuolisiin toimijoihin. Samaa aihetta käsitellään lisää äskettäin laaditussa Naton direktiivissä turvallisuudesta suhteissa Naton ulkopuolisiin toimijoihin (asiakirja AC/35-D/2006) sekä tätä direktiiviä tukevassa Naton ulkopuolisille toimijoille tarkoitetussa tarkistetussa asiakirjassa, joka käsittelee turvallisuutta suhteissa Natoon (asiakirja AC/35-D/1038-REV3). 

4. Sisällön osalta tarkistuksella on muutettu osiota "Perusperiaatteet, vähimmäisvaatimukset ja vastuut" (liite B) sekä määräyksiä osioissa "Henkilöstöturvallisuus", "Toimitilaturvallisuus", "Tietoaineistoturvallisuus" ja "Turvallisuus suhteissa Naton ulkopuolisiin toimijoihin" (liitteet B, C, D, E ja H). Tarkistuksella ei ole muutettu asiakirjan C-M(2002)49 liitteitä F ja G. 

(Allekirjoitus) Jens Stoltenberg 

Liite 1  

Liitteen 1 liitteet A, B, C, D, E, F, G, H  

Sanasto 

Alkuperäinen: Englanti 

LIITE 1 

C-M(2002)49-REV1 

TURVALLISUUS POHJOIS-ATLANTIN LIITOSSA (NATO) 

JOHDANTO 

1. Tässä C-M-asiakirjassa, jonka otsikkona on "Turvallisuus Pohjois-Atlantin liitossa (Nato)", kuvataan ne turvallisuuden perusperiaatteet ja vähimmäisvaatimukset, joita Naton jäsenvaltioiden ja Naton sotilas- ja siviilielinten on sovellettava varmistaakseen turvallisuusluokitellun tiedon yhteisen suojaustason. Naton turvallisuusmenettelyt toimivat parhaaksi eduksi vain, jos ne perustuvat niitä tukevaan kansalliseen turvallisuusjärjestelmään, joka on ominaisuuksiltaan näissä periaatteissa määritettyjen ominaisuuksien mukainen tai niitä vastaava. Lisäksi näissä periaatteissa käsitellään Naton sisäisiä turvallisuusrooleja, -tehtäviä ja -vastuita. 

2. Tämä periaateasiakirja koostuu liitteessä A olevasta turvallisuussopimuksesta, jonka nimi on "sopimus Pohjois-Atlantin sopimuksen osapuolten välillä tietoturvallisuudesta", sekä seuraavista liitteistä: 

(a) Liite A – Sopimus Pohjois-Atlantin sopimuksen osapuolten välillä tietoturvallisuudesta 

(b) Liite B – Perusperiaatteet, vähimmäisvaatimukset ja vastuut  

(c) Liite C – Henkilöstöturvallisuus 

(d) Liite D – Toimitilaturvallisuus 

(e) Liite E – Naton turvallisuusluokitellun tiedon turvallisuus 

(f) Liite F – Viestintä- ja tietojärjestelmien turvallisuus 

(g) Liite G – Turvallisuusluokiteltujen hankkeiden turvallisuus ja yritysturvallisuus 

(h) Liite H – Turvallisuus suhteissa Naton ulkopuolisiin toimijoihin.  

3. Tämä periaateasiakirja tukee Naton tiedonhallinnan periaatteita (C-M(2007)0118). Naton turvallisuusluokittelemattoman tiedon hallinnan periaatteita koskevassa asiakirjassa C-M(2002)60 käsitellään niitä perusperiaatteita ja vaatimuksia, joita Naton sotilas- ja siviilielimissä sekä Naton jäsenvaltioissa sovelletaan Naton turvallisuusluokittelemattoman tiedon (NATO UNCLASSIFIED ja julkinen tieto) suojaamiseksi. 

TAVOITTEET JA PÄÄMÄÄRÄT 

4. Naton jäsenvaltiot ja Naton sotilas- ja siviilielimet varmistavat tässä C-M-asiakirjassa kuvattujen perusperiaatteiden ja vähimmäisvaatimusten soveltamisen, jotta Naton turvallisuusluokitellun tiedon luottamuksellisuuden, eheyden ja käytettävyyden säilyminen turvataan. 

5. Naton jäsenvaltiot ja Naton sotilas- ja siviilielimet laativat turvallisuusohjelmat, jotka täyttävät nämä perusperiaatteet ja vähimmäisvaatimukset, jotta Naton turvallisuusluokitellulle tiedolle varmistetaan yhteinen suojaustaso.  

SOVELTAMISALA 

6. Näitä perusperiaatteita ja vähimmäisvaatimuksia sovelletaan seuraaviin: 

(a) Natosta peräisin oleva turvallisuusluokiteltu tieto; 

(b) Naton jäsenvaltiosta peräisin oleva turvallisuusluokiteltu tieto, joka annetaan Natolle tai toiselle Naton jäsenvaltiolle Naton ohjelman, hankkeen tai sopimuksen tueksi; 

(c) Naton ja Naton ulkopuolisten toimijoiden Naton ulkopuoliset valtiot ja muut Naton ulkopuoliset elimet (esim. kansainväliset järjestöt), mukaan lukien näitä valtioita ja elimiä edustavat luonnolliset henkilöt.1 Non-NATO nations, and other non-NATO bodies (e.g. International Organizations) including individualsrepresenting such nations or bodies. välillä vaihdettava turvallisuusluokiteltu tieto; ja 

(d) hallituksen (tai Naton sotilas- tai siviilielimen) ulkopuolisille luonnollisille henkilöille ja organisaatioille, kuten konsulteille, yrityksille ja yliopistoille, annettava turvallisuusluokiteltu tieto.  

7. ATOMAL-tietoon pääsyyn ja sen suojaamiseen sovelletaan sopimusta Pohjois-Atlantin sopimuksen osapuolten välillä ydinpuolustustietoja koskevasta yhteistyöstä(C-M(64)39). Jotta varmistetaan asianmukainen ATOMAL-tietoon pääsyn valvonta sekä tämän tiedon asianmukainen käsittely ja suojaaminen, sovelletaan hallinnollisia järjestelyjä ydinpuolustustietoja koskevasta yhteistyöstä tehdyn Pohjois-Atlantin sopimuksen osapuolten välisen sopimuksen täytäntöön panemiseksi (C-M(68)41). 

8. Yhdysvaltojen yhteistä operaatiosuunnitelmaa (US-SIOP) koskevaan tietoon pääsyyn ja sen suojaamiseen sovelletaan määräyksiä, jotka on annettu asiakirjassa C- M(71)27 (uudistettu) erityismenettelyistä Yhdysvaltojen yhteistä operaatiosuunnitelmaa (US-SIOP) koskevan tiedon käsittelemiseksi Natossa. 

9. Signaalitiedusteluun (SIGINT) liittyvien tietojen, toimintojen, lähteiden ja menetelmien arkaluonteisuuden vuoksi on sovellettava tiukkoja turvallisuusmääräyksiä ja -menettelyjä, jotka usein menevät tämän C-M-asiakirjan määräyksiä ja menettelyjä pidemmälle. Siksi SIGINT-tietoihin, -toimintoihin, -lähteisiin ja -menetelmiin pääsyyn ja niiden suojaamiseen sovelletaan kansallisia määräyksiä sekä asiakirjan MC 101 (Naton signaalitiedustelun periaatteet) ja siihen liittyvän liittokunnan yhteisen AJP-julkaisun sekä Naton signaalitiedustelun neuvoa-antavan komitean (NACSI) SIGINT-hallinnon ja -menettelyjen oppaan määräyksiä.  

ASEMA 

10. Pohjois-Atlantin neuvosto (NAC) on hyväksynyt tämän asiakirjan, jolla pannaan täytäntöön sopimus Pohjois-Atlantin sopimuksen osapuolten välillä tietoturvallisuudesta (liitteenä A) ja siten vahvistetaan Naton turvallisuusperiaatteet. Turvallisuuskomitean työjärjestyksen (C-M(2015)0002) mukaan Naton turvallisuusperiaatteet koostuvat asiakirjoista C-M(2002)49 ja C-M(2002)50.2 Per Terms of reference for the Security Committee (C-M(2015)0002) NATO Security Policy consists ofC-M(2002)49 and C-M(2002)50. 

NATO UNCLASSIFIED 

PUBLICLY DISCLOSED – PDN(2021)0002 

20 November 2020 DOCUMENT 

C-M(2002)49-REV1 

SECURITY WITHIN THE NORTH ATLANTIC TREATY ORGANIZATION (NATO) 

Note by the Secretary General 

Revision 1 to C-M(2002)49 dated 17 June 2002 

Reference: C-M(2002)49-COR1 to COR12 (consolidated version), dated 17 June 2002 

1. This document is the result of a major and comprehensive review of the NATO 

Security Policy and its supporting directives, as approved by the Security Committee. 

2. C-M(2002)49-REV1, which replaces the document at reference, introduces both 

structural and content changes. 

3. The structure has changed with the addition of a new Enclosure H to address 

specifically security in relation to non-NATO entities. This topic is developed further into the newly developed Directive for NATO on Security in Relation to Non-NATO Entities (reference AC/35-D/2006) and the revised Supporting Document for Non-NATO Entities on Security in Relation to NATO (reference AC/35-D/1038-REV3). 

4. In terms of content, this revision has addressed Basic Principles, Minimum 

Standards and Responsibilities (Enclosure B), as well as provisions of Personnel Security, Physical Security, Security of Information and Security in Relation to Non NATO Entities (Enclosures B, C, D, E and H). Enclosures F and G to C-M(2002)49 were not subject to this review. 

(Signed) Jens Stoltenberg 

1 Annex 

Enclosures A,B,C,D,E,F,G,H 

1 Glossary 

Original: English 

ANNEX 1 

C-M(2002)49-REV1 

SECURITY WITHIN THE 

NORTH ATLANTIC TREATY ORGANIZATION (NATO) 

INTRODUCTION 

1. This C-M, entitled Security Within the North Atlantic Treaty Organization (NATO), establishes the basic principles and minimum standards of security to be applied by NATO Nations and NATO Civil and Military bodies in order to ensure a common degree of protection for classified information. NATO security procedures only operate to the best advantage when they are based upon and supported by a national security system having the characteristics equivalent/conformant to those set out in 

this policy. In addition, this policy also addresses the security roles, functions and responsibilities within NATO. 

2. This policy document consists of the Security Agreement at Enclosure “A” entitled “Agreement between the Parties to the North Atlantic Treaty for the Security of Information” together with the following additional Enclosures: 

(a) Enclosure A – Agreement between the parties to NATO for the Security of Information 

(b) Enclosure B – Basic Principles, Minimum Standards and Responsibilities. 

(c) Enclosure C – Personnel Security. 

(d) Enclosure D – Physical Security. 

(e) Enclosure E – Security of NATO Classified Information. 

(f) Enclosure F – Communication and Information System Security. 

(g) Enclosure G – Classified Project and Industrial Security. 

(h) Enclosure H – Security in relation to non-NATO entities. 

3. This policy document supports the NATO Information Management Policy (C-M(2007)0118). The Policy on Management of Non-Classified NATO Information (C-M(2002)60) addresses the basic principles and standards to be applied within NATO Civil and Military bodies and NATO Nations for the protection of Non-Classified NATO information (NATO UNCLASSIFIED and Information releasable 

to the Public). 

AIMS AND OBJECTIVES 

4. NATO Nations and NATO Civil and Military bodies shall ensure that the basic principles and minimum standards of security set forth in this C-M are applied to safeguard NATO Classified Information from loss of confidentiality, integrity and availability. 

5. NATO Nations and NATO Civil and Military bodies shall establish security programmes that meet these basic principles and minimum standards to ensure a common degree of protection for NATO Classified Information. 

APPLICABILITY 

6. These basic principles and minimum standards shall be applied to: 

(a) classified information originated by NATO; 

(b) classified information originated by a NATO Nation which is provided to NATO or provided to another NATO Nation in support of a NATO programme, project, or contract; 

(c) classified information exchanged between NATO and non-NATO entities (NNE)1; and 

(d) classified information entrusted to individuals and organizations outside a government (or a NATO Civil or Military body), e.g. consultants, industry, universities. 

7. Access to, and the protection of, ATOMAL information are subject to the Agreement between the Parties to the North Atlantic Treaty for Co-operation Regarding Atomic Information (C-M(64)39). The Administrative Arrangements to implement the Agreement between the Parties to the North 

Atlantic Treaty for Co-operation Regarding ATOMAL Information (C-M(68)41) shall be applied to ensure appropriate access control, handling and protection of such information. 

8. Access to, and protection of, US-SIOP information are subject to the provisions of 

C-M(71)27(Revised), "Special Procedures for the Handling of United States Single Integrated Operational Plan (US-SIOP) Information within NATO". 

9. The sensitive nature of Signals Intelligence (SIGINT) information, operations, sources and methods require the application of stringent security regulations and procedures often beyond those set forth in this C-M. Therefore, access to and protection of, SIGINT information, operations, sources and methods are subject to national regulations and the provisions laid down in MC 101 (NATO Signals Intelligence Policy) its companion Allied Joint Publication (AJP) and the NATO Advisory Committee on 

Signals Intelligence (NACSI) Guide to SIGINT Administration and Procedures. 

AUTHORITY 

10. The North Atlantic Council (NAC) has approved this document which implements 

the Agreement Between the Parties to the North Atlantic Treaty for the Security of Information (reproduced at Enclosure “A”), and thereby establishes NATO Security Policy.2 

LIITE B 

C-M(2002)49-REV1 

LIITE ”B” 

PERUSPERIAATTEET, VÄHIMMÄISVAATIMUKSET JA VASTUUT 

PERUSPERIAATTEET  

1. Sovelletaan seuraavia perusperiaatteita: 

(a) Naton jäsenvaltiot ja Naton sotilas- ja siviilielimet varmistavat tässä C-M-asiakirjassa sovittujen vähimmäisvaatimusten noudattamisen, jotta osapuolten kesken vaihdettavalle turvallisuusluokitellulle tiedolle varmistetaan yhteinen suojaustaso. 

(b) Yhteisen vastuun tunnustaen turvallisuusluokiteltua tietoa jaetaan ainoastaan tiedonsaantitarpeen periaatteen Periaate, jonka mukaan tehdään myönteinen päätös, että tiedon mahdollisella vastaanottajalla on tarve päästä tietoon, saada tieto siitä tai saada se haltuunsa pystyäkseen suorittamaan virallisia tehtäviä tai palveluja.1 The principle according to which a positive determination is made that a prospective recipient has a requirement for access to, knowledge of, or possession of information in order to perform official tasks or services. perusteella henkilöille, joille on selostettu sovellettavat turvallisuusmenettelyt. 

(c) Ainoastaan asianmukaisesti turvallisuusselvitetyille henkilöille annetaan pääsy turvallisuusluokkaan NATO CONFIDENTIAL ja sitä ylempiin turvallisuusluokkiin luokiteltuun tietoon. 

(d) Turvallisuusselvitystodistuksen antamista ei katsota viimeiseksi vaiheeksi arvioitaessa henkilön kelpoisuutta päästä turvallisuusluokiteltuun tietoon, vaan otetaan käyttöön jatkuvat turvallisuusmenettelyt seurantatoimina, jotta voidaan huomioida  

sisäpiiriuhan hallinta Sisäpiiriuhan aiheuttaa henkilöstö, jolla on erioikeuteen perustuva pääsy Naton turvallisuusluokiteltuun tietoon ja/tai Naton omaisuuteen organisaatiossa hoitamansa tehtävän perusteella ja joka voi myöhemmin käyttää väärin tätä pääsyä hävittääkseen, vahingoittaakseen, poistaakseen tai paljastaakseen Naton turvallisuusluokiteltua tietoa ja/tai Naton omaisuutta joko tahallisesti tai huolimattomuudesta.2 Insider Threat is represented by personnel who have privileged access to NATO Classified Information and/or NATO assets by virtue of their role within the organization and could subsequently abuse this access to destroy, damage, remove or disclose NATO Classified Information and/or NATO assets either by intention or negligence.. 

(e) Naton turvallisuustoimisto (NOS) koordinoi sisäpiiriuhan hallintaa yhdessä toimivaltaisten kansallisten viranomaisten sekä Naton sotilas- ja siviilielinten kanssa. 

(f) Turvallisuusriskien hallintaa Uhkien ja haavoittuvuuksien arviointiin perustuva järjestelmällinen lähestymistapa sen määrittämiseksi, mitä vastatoimia tarvitaan tiedon sekä sitä tukevien palvelujen ja resurssien turvallisuuden suojaamiseksi. Riskienhallintaan sisältyy resurssien suunnittelu, järjestäminen, ohjaaminen ja valvonta, joiden avulla varmistetaan, että riski pysyy hyväksyttävyyden rajoissa.3 A systematic approach to determining which security counter-measures are required to protect information and supporting services and resources, based upon an assessment of the threats and vulnerabilities. Risk management involves planning, organising, directing and controlling resources to ensure that the risk remains within acceptable bounds. suoritetaan pakollisena Naton sotilas- ja siviilielimissä Naton turvallisuusriskien hallintaprosessin (AC/35-D/1035) mukaisesti. Sen soveltaminen Naton jäsenvaltioissa on vapaaehtoista. Riskienhallintaa ei saa käyttää keinona kiertää turvallisuusperiaatteita. 

(g) Naton jäsenvaltiot ja Naton sotilas- ja siviilielimet käynnistävät organisaatioissaan turvallisuuskoulutus- ja -tietoisuusohjelmia, joissa käsitellään kaikkia turvallisuusnäkökohtia jäljempänä l kohdassa esitetyllä tavalla. 

(h) Kaikista epäillyistä turvallisuusluokiteltuun tietoon kohdistuneista tietoturvaloukkauksista ja tällaisen tiedon vaarantumisista ilmoitetaan viipymättä toimivaltaiselle turvallisuusviranomaiselle. 

(i) Alkuperäisten luovuttajien luovuttaessa turvallisuusluokiteltua tietoa Natolle ja Naton jäsenvaltioille Naton ohjelman, hankkeen tai sopimuksen tueksi oletuksena on, että tietoa hallitaan ja suojataan Naton tiedonhallinnan periaatteiden ja Naton turvallisuusperiaatteiden mukaisesti. 

(j) Turvallisuusluokiteltuun tietoon sovelletaan alkuperäisen luovuttajan määräysvaltaa Periaate, jonka mukaan valtio, Nato tai muu organisaatio, jonka alaisuudessa tieto on luotu, tuotettu tai tuotu Natoon, määrää tämän tiedon käyttöön sovellettavat säännöt ja vaatimukset ja on toimivaltainen tiedon koko elinkaaren aikaisten muutosten suhteen.4 The principle by which a nation, NATO, or other organization, under whose authority information has been created, produced, or introduced into NATO, establishes the rules and standards which apply to the use of this information and has authority over any changes throughout information life-cycle. . 

(k) Naton turvallisuusluokiteltu tieto luovutetaan vakiintuneiden luovutusmenettelyjen ja perusteiden mukaisesti, ja kaikissa tapauksissa kaikki luovutettava Naton turvallisuusluokiteltu tieto tulee suojata vähintään samantasoisesti kuin tässä C-M-asiakirjassa ja sitä tukevissa ohjeissa määrätään.  

(l) Turvallisuusluokiteltu tieto turvataan tasapainoisella turvallisuustoimenpiteiden kokonaisuudella, jolla varmistetaan henkilöstöturvallisuus, toimitilaturvallisuus, tietoturvallisuus sekä viestintä- ja tietojärjestelmien turvallisuus (CIS). Myös silloin, kun turvallisuusluokiteltua tietoa annetaan hankeosapuolille ja luovutetaan Naton ulkopuolisille toimijoille (NNE), se turvataan noudattamalla näissä turvallisuusperiaatteissa kuvattuja menettelyjä. Nämä vaatimukset koskevat kaikkia henkilöitä, joilla on pääsy turvallisuusluokiteltuun tietoon, kaikkia turvallisuusluokiteltua tietoa sisältäviä tietovälineitä ja kaikkia tiloja, joissa on tällaista tietoa. 

(m) Organisaatiot, joilla on hallussaan Naton turvallisuusluokiteltua tietoa, kehittävät mekanismit ja menettelyt, joilla varmistetaan Naton turvallisuusperiaatteiden vaatimusten soveltaminen poikkeuksellisissa toimintaolosuhteissa, kuten häiriötilojen aikana. Nämä järjestelmät ja menettelyt voidaan esittää joko toiminnan jatkuvuussuunnitelmassa tai palautumissuunnitelmassa, tapahtuman luonteen mukaan. 

KRIITTISIÄ KOHTEITA KOSKEVAN TIEDON SUOJAAMINEN 

2. Tiedon julkaiseminen kriittisistä siviilikohteista (esim. puolustusmateriaalivarastoista, energiavarastoista), joilla on sotilaallista merkitystä jännitteiden tai sodan aikana, saattaa edistää kineettistä hyökkäystä tai sabotaasia, koska julkaistun tiedon avulla mahdolliset viholliset tai terroristit voivat pystyä kokoamaan luettelon kriittisistä kohteista ja käyttämään sitä haavoittuvien kohteiden tunnistamiseen hyökkäystä varten. Jotta pystytään estämään vihollisia käyttämästä tällaista tietoa vihamielisiin tarkoituksiin, on toteutettava asianmukaiset toimet, joilla varmistetaan, ettei tätä tietoa ole vapaasti saatavilla julkisesti. Lisäksi tällaisten kohteiden omistajien ja käyttäjien on oltava täysin tietoisia niihin kohdistuvan mainitunlaisen toiminnan vaarasta ja toteutettava tarvittavat toimet näitä kohteita koskevan tiedon suojaamiseksi. 

TURVALLISUUDEN VASTUUALUEET 

Kansallinen turvallisuusviranomainen (NSA) 

3. Kukin Naton jäsenvaltio perustaa kansallisen turvallisuusviranomaisen (NSA), joka vastaa Naton turvallisuusluokitellun tiedon turvallisuudesta. Kansallinen turvallisuusviranomainen toimii Naton turvallisuustoimiston ensisijaisena yhteystahona kaikissa Naton turvallisuuteen liittyvissä asioissa. Kansallinen turvallisuusviranomainen voi ohjata Naton turvallisuustoimiston kääntymään toimivaltaisen määrätyn turvallisuusviranomaisen tai muun toimivaltaisen turvallisuusviranomaisen puoleen.  

4. Kansallisen turvallisuusviranomaisen vastuulla on 

(a) varmistaa Naton turvallisuusluokitellun tiedon turvallisuus sekä sotilas- että siviilialan kansallisissa virastoissa ja muissa organisaatioissa, sekä kotimaassa että ulkomailla; 

(b) varmistaa, että kaikissa kansallisissa sekä sotilas- että siviilialan organisaatioissa kaikilla tasoilla tarkastetaan asianmukaisesti määräajoin Naton turvallisuusluokitellun tiedon suojaamiseksi tehdyt turvallisuusjärjestelyt, jotta voidaan todeta, suojataanko tätä tietoa asianmukaisesti. Sellaisissa organisaatioissa, joilla on hallussaan turvallisuusluokkaan COSMIC TOP SECRET luokiteltua tietoa tai ATOMAL-tietoa, tehdään turvallisuustarkastukset vähintään 24 kuukauden välein, jollei Naton turvallisuustoimisto tee näitä tarkastuksia kyseisenä ajanjaksona; 

(c) varmistaa, että kaikille kansalaisille, jotka tarvitsevat pääsyn turvallisuusluokkaan NATO CONFIDENTIAL ja sitä ylempiin turvallisuusluokkiin luokiteltuun tietoon, on myönnetty henkilöturvallisuusselvitystodistus (PSC) Naton turvallisuusperiaatteiden mukaisesti;  

(d) varmistaa, että on laadittu turvallisuussuunnitelmat, joiden avulla estetään Naton turvallisuusluokiteltua tietoa joutumasta asiattomien tai vihamielisten tahojen haltuun poikkeusolojen aikana; ja 

(e) auktorisoida kansallisten COSMIC-keskusrekisterien perustaminen tai lakkauttaminen. COSMIC-keskusrekisterien perustamisesta tai lakkauttamisesta on ilmoitettava Naton turvallisuustoimistolle. 

Määrätty turvallisuusviranomainen (DSA) 

5. Viranomainen, jonka vastuulla on tiedottaa yrityksille ja muille yhteisöille kansallisista periaatteista kaikissa Naton yritysturvallisuuden periaatteita koskevissa asioissa sekä antaa ohjausta ja apua niiden soveltamisessa. Joissakin valtioissa määrätyn turvallisuusviranomaisen tehtävää voi hoitaa kansallinen turvallisuusviranomainen. 

Turvallisuuskomitea (SC) 

6. Turvallisuuskomitean asettaa Pohjois-Atlantin neuvosto (NAC). Komiteassa on edustajat kunkin Naton jäsenvaltion kansallisesta turvallisuusviranomaisesta / määrätystä turvallisuusviranomaisesta, ja komiteaa tukee tarvittaessa muu Naton jäsenvaltioiden turvallisuushenkilöstö. Kansainvälisen sotilasesikunnan (IMS), strategisten esikuntien sekä tiedonvälityksen, johtamisen ja valvonnan (C3) ohjausryhmän edustajat ovat läsnä turvallisuuskomitean kokouksissa. Myös Naton sotilas- ja siviilielinten edustajia voi olla läsnä käsiteltäessä asioita, joissa näillä elimillä on intressi. Naton turvallisuustoimisto nimeää turvallisuuskomitean puheenjohtajat komitean pääedustajien kokoonpanoa, turvallisuusperiaatteita käsittelevää kokoonpanoa sekä viestintä- ja tietojärjestelmiä käsittelevää kokoonpanoa varten. 

7. Turvallisuuskomitea vastaa suoraan Pohjois-Atlantin neuvostolle seuraavista: 

(a) (asiakirjoissa C-M(2002)49 ja C-M(2002)50 kuvattujen) Naton turvallisuussääntöjen tarkistaminen ja niiden muuttamista tai hyväksymistä koskevien suositusten antaminen Pohjois-Atlantin neuvostolle; 

(b) Naton turvallisuussääntöjä koskevien kysymysten käsittely; 

(c) Naton turvallisuussääntöjen tukemiseksi julkaistavien direktiivien ja ohjausasiakirjojen tarkistaminen ja hyväksyminen Naton jäsenvaltio voi pyytää, että myös Pohjois-Atlantin neuvosto hyväksyy turvallisuusperiaatteita tukevan ohjeen.5 A NATO Nation may request that a supporting directive also be approved by the NAC.; ja 

(d) sellaisten turvallisuusasioiden käsittely, jotka Pohjois-Atlantin neuvosto, Naton jäsenvaltio, pääsihteeri, sotilaskomitea, tiedonvälityksen, johtamisen ja valvonnan ohjausryhmä tai Naton jonkin sotilas- tai siviilielimen johtaja on saattanut turvallisuuskomitean käsiteltäväksi, sekä asianmukaisten suositusten laatiminen näistä asioista. 

Naton turvallisuustoimisto (NOS) 

8. Naton turvallisuustoimisto on perustettu Naton kansainväliseen sihteeristöön osana yhteistä tiedustelu- ja turvallisuusjaostoa. Turvallisuustoimiston henkilöstö on kokenutta sekä sotilas- että siviilialan turvallisuusasioissa. Naton turvallisuustoimisto toimii läheisessä yhteydessä Naton jäsenvaltioiden kansallisten turvallisuusviranomaisten / määrättyjen turvallisuusviranomaisten sekä Naton sotilas- ja siviilielinten kanssa. Turvallisuustoimisto voi myös tarvittaessa pyytää Naton jäsenvaltioita ja Naton sotilas- ja siviilielimiä antamaan turvallisuustoimistolle lisää turvallisuusasiantuntijoita avustamaan sitä osa-aikaisesti, kun kokoaikaisen henkilöstön lisääminen turvallisuustoimistoon ei olisi perusteltua. 

9. Naton turvallisuustoimiston vastuulla on 

(a) käsitellä Naton turvallisuuteen vaikuttavia asioita; 

(b) määrittää keinot, joilla Naton turvallisuutta voitaisiin parantaa; 

(c) koordinoida yleisesti turvallisuutta Natossa Naton jäsenvaltioiden ja Naton sotilas- ja siviilielinten kesken; 

(d) varmistaa Naton turvallisuussääntöjen toteuttaminen ja valvonta muun muassa antamalla neuvoja, joita Naton jäsenvaltiot ja Naton sotilas- ja siviilielimet voivat pyytää joko soveltaessaan tässä liitteessä kuvattuja perusperiaatteita ja turvallisuusvaatimuksia tai täyttäessään yksittäisiä turvallisuusvaatimuksia; 

(e) tiedottaa kulloisenkin tilanteen mukaan turvallisuuskomitealle, pääsihteerille ja sotilaskomitean puheenjohtajalle Naton turvallisuustilanteesta sekä edistymisestä turvallisuutta koskevien Pohjois-Atlantin neuvoston päätösten täytäntöönpanossa;  

(f) tehdä määräajoin Naton turvallisuusluokitellun tiedon suojaamiseen tarkoitettujen turvallisuusjärjestelmien tarkastuksia Naton jäsenvaltioissa, Naton siviilielimissä, Naton operaatioesikunnassa ja Naton transformaatioesikunnan komentajan johtoesikunnassa Naton jäsenvaltiot voivat Naton turvallisuustoimiston pyynnöstä osallistua sen Naton sotilas- ja siviilielimissä tekemiin tarkastuksiin joko tarkkailijoina tai tarkastusryhmän aktiivisina jäseninä. Tämä ei kuitenkaan ole mahdollista sellaisissa siviilielimissä, joiden perusrakenteissa kaikki Naton jäsenvaltiot eivät ole mukana. 6 NATO Nations may, upon request of the NOS, participate in the NOS’ inspections to NATO Civil and Military bodies either as observers or as active members of the inspection team. However, this is not possible for civil bodies where not all NATO Nations are part of the constituting framework.; 

(g) tehdä turvallisuutta koskevia selvityksiä sellaisissa Naton ulkopuolisissa toimijoissa, joiden kanssa Nato on tehnyt turvallisuussopimuksen, aluksi varmentamista varten ja sen jälkeen määräajoin Naton turvallisuusperiaatteiden jatkuvan noudattamisen varmistamiseksi; 

(h) koordinoida kansallisten turvallisuusviranomaisten / määrättyjen turvallisuusviranomaisten ja Naton sotilas- ja siviilielinten kanssa epäiltyyn tai tosiasialliseen Naton turvallisuusluokitellun tiedon katoamiseen tai vaarantumiseen liittyvien asioiden tutkintaa; 

(i) tiedottaa tarvittaessa kansallisille turvallisuusviranomaisille / määrätyille turvallisuusviranomaisille saamastaan epäedullisesta tiedosta, joka koskee kyseisten valtioiden kansalaisia; 

(j) suunnitella turvatoimia Brysselissä sijaitsevan Naton päämajan suojaamiseksi ja varmistaa niiden toteuttaminen oikealla tavalla; ja 

(k) valvoa pääsihteerin johdolla ja puolesta ATOMAL-tietojen suojaamiseksi tarkoitetun Naton turvallisuusohjelman toteuttamista ATOMAL-sopimuksen (C-M(64)39) ja sitä tukevien hallinnollisten järjestelyjen (C-M(68)41) määräysten mukaisesti. 

Sotilaskomitea ja Naton sotilaselimet 

10. Naton korkeimpana sotilasviranomaisena sotilaskomitea vastaa sotilasasioiden hoitamisesta yleisesti. Sotilaskomitea vastaa siten kaikista Naton sotilasrakenteen turvallisuusasioista, mukaan lukien niiden toimenpiteiden keskitetty kokonaiskäsittely, joita tarvitaan Naton turvallisuusluokitellun tiedon siirtämiseen käytettävän salaustekniikan ja aineiston asianmukaisuuden varmistamiseksi, sekä tämän C-M-asiakirjan liitteessä F määriteltyjen Naton rahoittamien salauslaitteistojen turvallisuushyväksyntä. Aiemmin sovittujen periaatteiden sekä edellä olevien 8 ja 9 kohdan mukaisesti Naton turvallisuustoimisto hoitaa turvallisuuteen liittyviä toimeenpanotehtäviä Naton sotilasrakenteessa ja tiedottaa tästä toiminnasta sotilaskomitean puheenjohtajalle. 

11. Sotilaskomitean alaisuuteen perustettujen Naton sotilaselinten johtajat vastaavat kaikista organisaatioidensa turvallisuusasioista. Tähän sisältyy vastuu siitä, että varmistetaan turvallisuusorganisaation perustaminen, asianmukaisten turvallisuustoimenpiteiden ja menettelyjen suunnittelu ja toteutus Naton turvallisuussääntöjen mukaisesti sekä turvallisuustoimenpiteiden tarkastaminen määräajoin kaikilla komentotasoilla. Sellaisissa organisaatioissa, joilla on hallussaan turvallisuusluokkaan COSMIC TOP SECRET luokiteltua tietoa tai ATOMAL-tietoa, tehdään turvallisuustarkastukset vähintään 24 kuukauden välein, jollei Naton turvallisuustoimisto ole tehnyt tällaista tarkastusta kyseisenä ajanjaksona; 

Naton siviilielimet 

12. Naton kansainvälinen sihteeristö ja Naton siviilivirastot vastaavat Pohjois-Atlantin neuvostolle turvallisuuden ylläpitämisestä organisaatioissaan. Tähän sisältyy vastuu siitä, että varmistetaan turvallisuusorganisaation perustaminen, turvallisuusohjelmien suunnittelu ja toteutus Naton turvallisuussääntöjen mukaisesti sekä turvallisuustoimenpiteiden tarkastaminen määräajoin kaikilla komentotasoilla. Sellaisissa organisaatioissa, joilla on hallussaan turvallisuusluokkaan COSMIC TOP SECRET luokiteltua tietoa tai ATOMAL-tietoa, tehdään turvallisuustarkastukset vähintään 24 kuukauden välein, jollei Naton turvallisuustoimisto ole tehnyt tällaista tarkastusta kyseisenä ajanjaksona. 

TURVALLISUUSVALVONTA OSAAMISKESKUSTEN Osaamiskeskukset, jotka Pohjois-Atlantin neuvosto on hyväksynyt asiakirjan PO(2020)0038 (INV) mukaisesti.7 NAC-approved COEs in accordance with PO(2020)0038 (INV). / YHTEISYMMÄRRYSPÖYTÄKIRJAAN PERUSTUVIEN ELINTEN OSALTA 

13. Turvallisuusvalvonnalla tarkoitetaan valvontatehtävää, jolla varmistetaan, että Naton turvallisuusluokiteltua tietoa käsittelevä organisaatio soveltaa Naton turvallisuussääntöjä oikein suojatakseen tätä tietoa. Naton komentorakenteen (NCS) ulkopuolisten elinten turvallisuusvalvonta Naton turvallisuusluokitellun tiedon suojaamisen osalta tapahtuu seuraavasti: 

(a) Osallistuvat valtiot vastaavat turvallisuusasioiden hoitamisesta kyseisessä Naton sotilaselimessä (NMB) ja tekevät asianmukaiset järjestelyt sitä varten. Jollei näiden yksiköiden turvallisuusvalvonnan hoitamiseksi ole tehty erillisiä sopimuksia, se valtio, jossa kyseinen yksi tai useampi yksikkö sijaitsee, eli isäntävaltio, johtaa turvallisuusvalvontaa. 

(b) Osaamiskeskukset / yhteisymmärryspöytäkirjaan perustuvat elimet voivat olla Naton sotilaselimiä, jos Pohjois-Atlantin neuvosto on tehnyt aktivointipäätöksen asiassa. Tällaisissa tapauksissa sovelletaan Naton turvallisuussääntöjä ja osaamiskeskuksen / yhteisymmärryspöytäkirjaan perustuvan elimen johtaja vastaa kaikista organisaationsa turvallisuusasioista. Osallistuvat valtiot vastaavat turvallisuusvaatimusten käsittelystä osaamiskeskuksessa / yhteisymmärryspöytäkirjaan perustuvassa elimessä ja tekevät tarvittavat järjestelyt sitä varten. Isäntävaltio johtaa turvallisuusvalvontaa, jolleivät osallistuvat valtiot ole sopineet muista järjestelyistä tämän valvonnan suhteen.  

(c) Jos osaamiskeskusta / yhteisymmärryspöytäkirjaan perustuvaa elintä ei ole aktivoitu Naton sotilaselimeksi (eikä Pohjois-Atlantin neuvosto siten ole myöntänyt sille kansainvälistä asemaa), mutta se on akkreditoitu Naton osaamiskeskukseksi / yhteisymmärryspöytäkirjaan perustuvaksi elimeksi, sovelletaan Naton turvallisuussääntöjä. Vaikka osallistuvat valtiot vastaavat kaikista osaamiskeskuksen / yhteisymmärryspöytäkirjaan perustuvan elimen turvallisuusasioista, isäntävaltio johtaa turvallisuusvalvontaa, jolleivät osallistuvat valtiot ole sopineet muista järjestelyistä tämän valvonnan suhteen. Osaamiskeskuksen / yhteisymmärryspöytäkirjaan perustuvan elimen perustamista koskevassa yhteisymmärryspöytäkirjassa esitetään, miten tämä toteutetaan osaamiskeskuksessa / yhteisymmärryspöytäkirjaan perustuvassa elimessä. 

(d) Jos jonkin Naton jäsenvaltion monikansallista yksikköä ei ole akkreditoitu osaamiskeskukseksi eikä aktivoitu Naton sotilaselimeksi, mutta se käyttää Naton turvallisuusluokiteltua tietoa, sovelletaan Naton turvallisuussääntöjä ja osallistuvat valtiot vastaavat turvallisuusasioista. Jos osallistujina on Naton ulkopuolisia valtioita, näiden kanssa on tehtävä turvallisuussopimus ennen kuin turvallisuusluokiteltua tietoa voidaan vaihtaa. Tällaisissa tapauksissa isäntävaltio johtaa turvallisuusvalvontaa, jolleivät osallistuvat valtiot ole sopineet muista järjestelyistä tämän valvonnan suhteen. Monikansallisen yksikön perustamista koskevassa yhteisymmärryspöytäkirjassa esitetään, miten tämä toteutetaan monikansallisessa yksikössä. 

TURVALLISUUSKOORDINOINTI 

14. Naton jäsenvaltioiden kansallisten turvallisuusviranomaisten / määrättyjen turvallisuusviranomaisten ja Naton sotilas- tai siviilielinten välinen Naton turvallisuusasia, jota ei voida ratkaista, tai Naton turvallisuussääntöjen toteuttamista tai tulkintaa koskeva asia saatetaan Naton turvallisuustoimiston ratkaistavaksi. Jos asian saattavat turvallisuustoimiston ratkaistavaksi sotilasviranomaiset, tämä tehdään komentotietä pitkin. Ratkaisemattomat erimielisyydet Naton turvallisuustoimisto antaa turvallisuuskomitean käsiteltäväksi. 

TURVALLISUUSSÄÄNTÖJEN MUUTTAMINEN 

15. Naton jäsenvaltioiden ja Naton sotilas- ja siviilielinten ehdotukset Naton turvallisuussääntöjen muuttamiseksi tulisi toimittaa ensisijaisesti Naton turvallisuustoimiston käsiteltäväksi. Sotilasviranomaisten tekemät ehdotukset välitetään komentotietä pitkin. Naton turvallisuustoimisto käsittelee ehdotukset, ja tarvittaessa ne esitetään turvallisuuskomitealle jatkokäsittelyä varten. Tämä kohta ei estä Naton jäsenvaltioiden kansallisia turvallisuusviranomaisia / määrättyjä turvallisuusviranomaisia tekemästä virallisesti ehdotuksia turvallisuuskomitealle, jos ne niin tahtovat 

ENCLOSURE “B” 

C-M(2002)49-REV1 

ENCLOSURE “B” 

BASIC PRINCIPLES, MINIMUM STANDARDS AND RESPONSIBILITIES 

BASIC PRINCIPLES 

1. The following basic principles shall apply: 

(a) NATO Nations and NATO Civil and Military bodies shall ensure that the agreed 

minimum standards set forth in this C-M are applied to ensure a common degree of 

protection for classified information exchanged among the parties. 

(b) Acknowledging the responsibility to share, classified information shall only be 

disseminated on the basis of the principle of need-to-know1 to individuals who have 

been briefed on the relevant security procedures. 

(c) Only appropriately cleared individuals shall have access to information classified 

NATO CONFIDENTIAL and above. 

(d) The granting of a clearance shall not be considered as a final step in assessing 

an individual’s eligibility for access to classified information but ongoing personnel 

security procedures, referred to as Aftercare, shall be established in order to address the 

management of the Insider Threat2. 

(e) The NATO Office of Security (NOS) shall coordinate the management of the Insider Threat in conjunction with the appropriate national authorities and NATO Civil and Military bodies. 

(f) Security risk management3 shall be mandatory within NATO Civil and Military bodies in accordance with the NATO Security Risk Management Process (AC/35-D/1035). 

Its application within NATO Nations is optional. Risk management shall not be used 

to circumvent security policy. 

(g) NATO Nations and NATO Civil and Military bodies shall establish Security Education and Awareness Programmes within their organizations addressing all security 

aspects as described in paragraph (l) below. 

(h) All suspected Security Breaches and compromise of classified information shall be reported immediately to the appropriate security authority. 

(i) Originators release classified information to NATO and to NATO Nations in support of a NATO programme, project or contract on the understanding that it will be managed and protected in accordance with the NATO Information Management Policy (NIMP) and NATO Security Policy. 

(j) Classified information shall be subject to Originator Control4. 

(k) The release of NATO Classified Information shall be in accordance with 

the established procedures and criteria for the release, and in all cases, a degree of 

protection, no less stringent than that specified in this C-M and the supporting 

directives, shall be required for any NATO Classified Information released. 

(l) Classified information shall be safeguarded by a balanced set of security measures addressing the following subjects: personnel security, physical security, security of information and security of Communication and Information Systems (CIS). 

When classified information is provided to contractors and released to non-NATO 

entities (NNE) it shall also be safeguarded by following the procedural measures set 

by these policies. These requirements shall extend to all individuals having access to 

classified information, all media carrying classified information, and to all premises 

containing such information. 

(m) Establishments that hold NATO Classified Information shall develop mechanisms 

and processes to ensure application of NATO Security Policy requirements under 

adverse operational conditions, including disruptive incidents. Such mechanisms and 

processes may be reflected in either a Business Continuity Plan or Disaster Recovery 

Plan, depending on the nature of the incident. 

PROTECTION OF INFORMATION ON KEY POINTS 

2. The publication of information about critical civilian installations (e.g. defence supplies, energy supply) of military significance in times of tension or war may assist in the delivery of a kinetic attack or act of sabotage by allowing potential enemies or terrorists to compile a key points list, and to use this in order to identify points which may be vulnerable to attack. Appropriate steps shall be taken to ensure that such information is not freely available in the public domain in order to prevent its use in a hostile manner by enemies. Additionally, installations’ owners and operators shall be fully aware of the risk of such activity against them and take such steps as necessary to protect 

this information. 

SECURITY RESPONSIBILITIES 

National Security Authority (NSA) 

3. Each NATO Nation shall establish a National Security Authority (NSA) responsible for the security of NATO Classified Information. The NSA serves as the main point of contact for the NOS for any matter relating to security within NATO. Thereafter, the NSA may direct the NOS to the appropriate Designated Security Authority (DSA) or other competent security authority. 

4. The NSA is responsible for: 

(a) the security of NATO Classified Information in national agencies and elements, military or civil, at home or abroad; 

(b) ensuring that periodic and appropriate inspections of the security arrangements for the protection of NATO Classified Information are undertaken in all national 

organizations at all levels, both military and civil, to determine that NATO Classified Information is appropriately protected in accordance with current NATO security regulations. In the case of organizations holding CTS or ATOMAL information, security inspections shall be made at least every 24 months, unless, during that period, they are carried out by the NOS; 

(c) ensuring that a Personnel Security Clearance (PSC) has been granted to all nationals who are required to have access to information classified NATO CONFIDENTIAL and above, in accordance with NATO Security Policy; 

(d) ensuring that security plans have been prepared in order to prevent NATO Classified Information from falling into unauthorised or hostile hands in the event of an emergency; and 

(e) authorising the establishment (or dis-establishment) of national COSMIC Central Registries. The establishment (or dis-establishment) of COSMIC Central Registries shall be notified to the NOS. 

Designated Security Authority (DSA) 

5. An authority responsible for communicating to industry the national policy in all matters of NATO industrial security policy and for providing direction and assistance in its implementation. In some nations, the function of a DSA may be carried out by the NSA. 

Security Committee (SC) 

6. The SC is established by the North Atlantic Council (NAC) and is composed of 

representatives from each NATO Nation's NSAs/DSAs and supported, where required, by additional NATO Nation security staff. Representatives of the International Military Staff (IMS), Strategic Commands and Consultation Command and Control (C3) Board shall be present at the meetings of the SC. Representatives of NATO Civil and Military bodies may also be present when matters of 

interest to them are addressed. The Chairpersons for the SC at Principal’s level, the SC in Security Policy Format (SC (SP)), and the SC in Communications and Information Systems (CIS) Security Format (SC (CISS)) are provided by the NOS. 

7. The SC is responsible directly to the NAC for: 

(a) reviewing NATO Security Policy (as set forth in C-M(2002)49 and C-M(2002)50) and making recommendations for change or endorsement to the NAC; 

(b) examining questions concerning NATO Security Policy; 

(c) reviewing and approving the supporting directives and guidance documents 

published in support of NATO Security Policy;5 and 

(d) considering security matters referred to it by the NAC, a NATO Nation, the Secretary General, the Military Committee (MC), the C3 Board or the heads of NATO Civil and Military bodies and preparing appropriate recommendations thereon. 

NATO Office of Security (NOS) 

8. The NOS is established within the NATO International Staff as part of the Joint Intelligence and Security Division. It is composed of personnel experienced in security matters in both military and civil spheres. The NOS maintains close liaison with the NSAs/DSAs of NATO Nations, and with NATO Civil and Military bodies. The NOS may also, as required, request NATO Nations and NATO Civil and Military bodies to provide additional security experts to assist it for limited periods of time when full-time additions to the NOS would not be justified. 

9. The NOS is responsible for: 

(a) examining any questions affecting NATO security; 

(b) identifying means whereby NATO security might be improved; 

(c) the overall co-ordination of security for NATO among NATO Nations and NATO Civil and Military bodies; 

(d) ensuring the implementation and oversight of NATO Security Policy, including the provision of such advice as may be requested by NATO Nations and NATO Civil and Military bodies either in their application of the basic principles and the standards of security described in this Enclosure, or in the implementation of the specific security requirements; 

(e) informing, as appropriate, the SC, the Secretary General and the Chair of the MC of the state of security within NATO, and the progress made in implementing NAC decisions regarding security; 

(f) carrying out periodic inspections of security systems for the protection of NATO Classified Information in NATO Nations, NATO Civil bodies, SHAPE and HQ SACT;6 

(g) conducting security surveys in NNEs with whom NATO has a signed Security 

Agreement for the initial purpose of certification and periodically thereafter for 

ensuring ongoing compliance with NATO Security Policy; 

(h) co-ordinating, with NSAs/DSAs and NATO Civil and Military bodies, the investigation of cases relating to the actual or suspected loss or compromise of NATO Classified Information; 

(i) informing NSAs/DSAs of any adverse information which comes to light concerning their nationals, where appropriate; 

(j) devising security measures for the protection of the NATO Headquarters, Brussels and ensuring their correct implementation; and 

(k) supervising, under the direction and on behalf of the Secretary General, the application of the NATO security programme for the protection of ATOMAL 

information under the provisions of the Agreement (C-M(64)39) and the supporting Administrative Arrangements (C-M(68)41). 

Military Committee and NATO Military bodies 

10. As the highest military authority in NATO, the MC is responsible for the overall conduct of military affairs. The MC is consequently responsible for all security matters within the NATO military structure including centralised overall cognisance of measures necessary to assure the adequacy of cryptographic techniques and materials used for transmitting NATO Classified Information, including the security approval of NATO funded cryptographic equipment as defined in Enclosure “F” to this C-M. In accordance with previously agreed policy and in compliance with paragraphs 8 and 9 above, the NOS carries out the executive functions for security within the NATO military structure and keeps the Chair of the MC informed. 

11. The Heads of NATO Military bodies established under the auspices of the MC are responsible for all security matters within their establishments. This includes the responsibility for ensuring that a security organization is set up, that appropriate security measures and procedures are devised and executed in accordance with NATO Security Policy and that the security measures are inspected periodically at each command level. In cases where organizations hold COSMIC TOP SECRET (CTS) or ATOMAL information, security inspections are to be made at least every 24 months, unless, during that period, an inspection has been carried out by the NOS. 

NATO Civil bodies 

12. The NATO International Staff and NATO civil agencies are responsible to the NAC for the maintenance of security within their establishment. This includes responsibility for ensuring that a security organization is set up, that security programmes are devised and executed in accordance with NATO Security Policy and that the security measures are inspected periodically at each command level. In cases of organizations holding CTS or ATOMAL information, security inspections are to be made at least every 24 months, unless, during that period, an inspection has been carried out by the NOS. 

SECURITY OVERSIGHT FOR CENTRE OF EXCELLENCE (COE)7 / MEMORANDUM OF UNDERSTANDING (MOU) BODIES 

13. Security oversight is defined as the supervisory function to ensure that any organization which handles NATO Classified Information is correctly applying NATO Security Policy for the protection of such information. Security oversight for bodies that lie outside the NATO Command Structure (NCS) in respect of protecting NATO Classified Information shall be delivered as follows: 

(a) Participating nations are responsible and shall make appropriate arrangements as to how to deal with security within their NATO Military Body (NMB). Unless there are specific agreements in place regarding how to deal with security oversight for these elements, the Nation in which the element(s) is/are situated, i.e. the Host Nation, shall take the lead for exercising security oversight. 

(b) COE/MOU bodies can be NMB if there is a NAC activating decision. In such cases NATO Security Policy is applicable and the head of the COE/MOU body shall be responsible for all security matters within their establishment. Participating nations are responsible and shall make necessary arrangements to deal with security requirements within any COE/MOU body. The Host Nation shall take the lead for exercising security oversight unless participating nations have agreed to alternative arrangements for this oversight. 

(c) If a COE/MOU body is not activated as a NMB (and thus not granted international status by the NAC), but accredited as a NATO COE/MOU, NATO Security Policy applies. Although participating nations will be responsible for all security matters within the COE/MOU, the Host Nation shall take the lead for exercising security oversight unless participating nations have agreed to alternative arrangements for this oversight. Any founding MOU shall describe how this is implemented within the COE/MOU body. 

(d) If a multi-national entity within one of the NATO Nations is not accredited as a COE, nor activated as a NMB but uses NATO Classified Information, NATO Security Policy applies and the participating nations remain responsible for security matters. If there are non-NATO nations participating, a security agreement with those nations must be in place before classified information can be exchanged. In such circumstances the Host Nation shall take the lead for security oversight unless participating nations have agreed to alternative arrangements for this oversight. Any founding MOU shall describe how this is implemented within the multi-national entity. 

SECURITY CO-ORDINATION 

14. Any NATO security issue between NSAs/DSAs of NATO Nations, and NATO Civil and Military bodies that cannot be resolved, or any issue with implementing or interpreting NATO Security Policy, shall be referred to the NOS. In cases where such reference is by military authorities, this shall be made through command channels. Any unresolved differences shall be submitted by 

the NOS to the SC for consideration. 

SECURITY POLICY MODIFICATIONS 

15. Any proposals by NATO Nations and NATO Civil and Military bodies to modify NATO Security Policy should be referred in the first instance to the NOS. Any proposals made by the military authorities shall be transmitted through command channels. Proposals will be considered by the NOS and if necessary raised to the SC for further discussion. This paragraph does not preclude the NSAs/DSAs from NATO Nations formally making proposals to the SC if they wish. 

LIITE C 

C-M(2002)49-REV1 

LIITE C 

HENKILÖSTÖTURVALLISUUS 

JOHDANTO 

1. Tässä liitteessä esitetään henkilöstöturvallisuutta koskevat periaatteet ja vähimmäisvaatimukset. Lisätietoja ja vaatimuksia löytyy Naton turvallisuussääntöjä tukevasta henkilöstöturvallisuusdirektiivistä (AC/35-D/2000). 

2. Henkilöstöturvallisuusmenettelyt suunnitellaan sellaisiksi, että niillä pystytään selvittämään, voiko henkilölle hänen lojaalisuutensa, rehellisyytensä ja luotettavuutensa huomioon ottaen myöntää pääsyn turvallisuusluokiteltuun tietoon ilman, että siitä aiheutuu turvallisuusriski, jota ei voida hyväksyä. Tämä edellyttää, että kaikki siviili- ja sotilashenkilöt Poikkeuksena ne valtion ylimpien tehtävien haltijat, joihin viitataan tämän liitteen kohdassa 7.1 Aside from those Senior Government Officials, referred to in the paragraph 7 of this Enclosure., joiden velvollisuudet tai tehtävät edellyttävät pääsyä turvallisuusluokkaan CONFIDENTIAL Jotkin Naton jäsenvaltiot edellyttävät kansallisten säädösten ja määräysten mukaisesti henkilöturvallisuusselvityksen turvallisuusluokkaan RESTRICTED tai vastaavaan kansalliseen turvallisuusluokkaan kuuluvaan tietoon pääsyä varten.2 Some NATO Nations, as mandated by their national laws and regulations, require a PSC for access to classified information at the level of RESTRICTED or national equivalent. ja sitä ylempiin turvallisuusluokkiin kuuluvaan tietoon, on tutkittava asianmukaisesti, jotta saavutetaan riittävä luottamuksen taso heidän edellytyksistään päästä turvallisuusluokiteltuun tietoon, ja heillä on tämän johdosta oltava kansallinen henkilöturvallisuusselvitystodistus (PSC). Henkilöturvallisuusselvitys (PSC) on kansallisen turvallisuusviranomaisen tai määrätyn turvallisuusviranomaisen tai muun toimivaltaisen turvallisuusviranomaisen myönteinen arvio, jolla tunnustetaan luonnollisen henkilön kelpoisuus päästä turvallisuusluokkaan NATO CONFIDENTIAL tai sitä ylempiin turvallisuusluokkiin kuuluvaan tietoon ottaen huomion henkilön lojaalius, rehellisyys ja luotettavuus.3 A PSC is a positive determination by which an NSA/DSA or other competent security authority formally recognizes the individual’s eligibility to have access to information classified NC and above taking into account their loyalty, trustworthiness and reliability. 

3. Saadakseen pääsyn Naton turvallisuusluokkaan NATO CONFIDENTIAL (NC) ja sitä ylempiin turvallisuusluokkiin kuuluvaan tietoon henkilöllä on oltava voimassa oleva asianmukaisen tason kansallinen henkilöturvallisuusselvitystodistus sekä asianmukaisen kansallisen turvallisuusviranomaisen tai määrätyn turvallisuusviranomaisen tai muun toimivaltaisen turvallisuusviranomaisen vahvistus siitä, että kyseiselle henkilölle voidaan myöntää pääsy Naton turvallisuusluokiteltuun tietoon. 

TIEDONSAANTITARPEEN PERIAATTEEN SOVELTAMINEN 

4. Naton jäsenvaltioiden ja Naton siviili- ja sotilaselinten henkilöillä on pääsy vain sellaiseen Naton turvallisuusluokiteltuun tietoon, johon heillä on tiedonsaantitarve. Kenelläkään ei ole yksinomaan aseman tai viran tai henkilöturvallisuusselvitystodistuksen perusteella pääsyä Naton turvallisuusluokiteltuun tietoon. 

HENKILÖTURVALLISUUSSELVITYSTODISTUKSET (PSC) 

5. Naton turvallisuussäännöt eivät edellytä henkilöturvallisuusselvitystodistusta turvallisuusluokkaan NATO RESTRICTED (NR) kuuluvaan tietoon pääsyyn. Jotkin Naton jäsenvaltiot voivat kansallisten säädöstensä ja määräystensä mukaisesti vaatia henkilöturvallisuusselvitystä turvallisuusluokkaan NATO RESTRICTED kuuluvaan tietoon pääsyä varten.4 Some NATO Nations, in accordance with their national laws and regulations, may require a PSC for access to information classified NR. Henkilöiden, jotka tarvitsevat pääsyn ainoastaan turvallisuusluokkaan NATO RESTRICTED kuuluvaan tietoon, on saatava ohjeistusta heidän turvallisuusvelvoitteistaan Naton turvallisuusluokitellun tiedon Jäsenvaltiot voivat käyttää joko Naton omaa ohjeistusta tai vastaavaa kansallista ohjeistusta, jos jälkimmäisessä korostetaan näiden kahden turvallisuuskehyksen vaatimusten eroja.5 Nations may use either NATO specific briefings or national equivalent if the latter highlightsthe differences between the requirements of the two security frameworks. suojaamisen osalta, heidän on annettava vakuutuksensa turvallisuutta koskevasta vastuustaan kirjallisesti tai vastaavalla kiistämättömyyden varmistavalla tavalla ja heillä on oltava myös tiedonsaantitarve. 

6. Asianmukainen henkilöturvallisuusselvitystodistus tarvitaan silloin, kun henkilöt tehtäviään suorittaessaan pääsevät tai saattavat päästä turvallisuusluokkaan NATO CONFIDENTIAL ja sitä ylempiin turvallisuusluokkiin kuuluvaan tietoon. Lisäksi henkilöiltä edellytetään: 

(a) tiedonsaantitarvetta;  

(b) saatua ohjeistusta turvallisuusvelvoitteistaan Naton turvallisuusluokitellun tiedon suojaamisen osalta; 

(c) vakuutuksen antamista turvallisuutta koskevasta vastuustaan joko kirjallisesti tai vastaavalla kiistämättömyyden varmistavalla tavalla. 

7. Edellä olevista 5 ja 6 kohdasta poiketen valtion ylimpien tehtävien haltijoiden (esimerkiksi valtion- ja hallitusten päämiehet, ministerit, kansanedustajat, oikeuslaitoksen jäsenet) pääsy Naton turvallisuusluokiteltuun tietoon perustuu kansallisiin säädöksiin ja määräyksiin; tällaisia henkilöitä on ohjeistettava heidän turvallisuusvelvoitteistaan, ja heillä on oltava tiedonsaantitarve. 

8. Vaadittavan henkilöturvallisuusselvitystodistuksen taso ja siten tehtyjen turvallisuusselvitysmenettelyjen laajuus määräytyvät sen perusteella, mihin turvallisuusluokkaan kuuluvaan Naton turvallisuusluokiteltuun tietoon henkilön on saatava pääsy. Naton turvallisuusluokiteltuun tietoon pääsyn saaneiden henkilöiden tai virantoimituksessaan tai tehtävissään tietoon mahdollisesti pääsevien henkilöiden edellytyksistä on oltava sovittu luottamuksen taso. 

9. Henkilöturvallisuusselvitystodistuksen myöntämistä ei tule pitää henkilöstöturvallisuusmenettelyn viimeisenä vaiheena; vaatimuksena on varmistaa henkilön jatkuvat edellytykset päästä Naton turvallisuusluokiteltuun tietoon. Tämä saavutetaan, kun turvallisuusviranomaiset ja -johtajat osallistavat henkilöitä tehokkaasti ja arvioivat heitä säännöllisesti. Tähän sisältyy sellaisten henkilön olosuhteissa tai käyttäytymisessä tapahtuvien muutosten arviointi, joilla voi olla turvallisuusvaikutuksia. Lisäksi, turvallisuuskoulutus- ja tietoisuusohjelmien tehokkaalla käytöllä muistutetaan henkilöitä heidän turvallisuutta koskevasta vastuustaan ja heidän velvollisuudestaan ilmoittaa johtajilleen tai turvallisuushenkilöstölle tietoja, jotka voivat vaikuttaa heidän turvallisuusstatukseensa. 

Poikkeukselliset olosuhteet 

10. Voi syntyä tilanteita, joissa joitain 6 kohdan vaatimuksista ei voida täyttää esimerkiksi kiireellisestä operaatiosta johtuen. Väliaikaisia nimityksiä sekä tilapäisesti tai kiireellisyyssyistä myönnettyä pääsyä koskevat käytännöt määritellään tarkemmin Naton turvallisuussääntöjä tukevassa henkilöstöturvallisuusdirektiivissä. 

Vastuut 

11. Henkilöturvallisuusselvitystodistuksen käsittely kuuluu sille Naton jäsenvaltioille, jonka kansalaista selvitys koskee. Tähän sisältyy vaatimus siitä, että jäsenvaltiot varmistavat, että niiden henkilöstöturvallisuusselvitystodistusta koskevat menettelyt täyttävät tutkinnalliset vähimmäisvaatimukset ja perusteet, joilla arvioidaan henkilön lojaaliutta, rehellisyyttä ja luotettavuutta henkilöturvallisuusselvitystodistuksen myöntämistä varten sekä henkilöturvallisuusselvitystodistuksen uusimisen vaatimukset, jotka määritellään henkilöstöturvallisuusdirektiivissä. 

12. Naton siviili- ja sotilaselimet vastaavat henkilöstönsä henkilöturvallisuusselvitystodistushakemusten ja uusimispyyntöjen jättämisestä asianomaiselle kansalliselle turvallisuusviranomaiselle tai määrätylle turvallisuusviranomaiselle tai muulle toimivaltaiselle turvallisuusviranomaiselle. 

13. Kansallisten turvallisuusviranomaisten tai määrättyjen turvallisuusviranomaisten tai muiden toimivaltaisten turvallisuusviranomaisten, Naton jäsenvaltioiden ja Naton siviili- tai sotilaselinten päälliköiden yksityiskohtaiset vastuut on määritelty henkilöstöturvallisuusdirektiivissä. 

TURVALLISUUSKOULUTUS JA -TIETOISUUS 

14. Kaikkia henkilöitä, jotka työskentelevät tehtävissä, joissa heillä on pääsy turvallisuusluokkaan NATO RESTRICTED kuuluvaan tietoon tai joilla on henkilöturvallisuusselvitystodistus, joka antaa heille pääsyn turvallisuusluokkaan NATO CONFIDENTIAL tai sitä ylempiin turvallisuusluokkiin kuuluvaan tietoon, on ohjeistettava turvallisuusmenettelyistä ja heidän turvallisuusvelvoitteistaan. Kaikkien turvallisuusselvitettyjen henkilöiden on vakuutettava ymmärtävänsä täysin vastuunsa ja heihin mahdollisesti kohdistuvat seuraukset siitä, että Naton turvallisuusluokiteltua tietoa joutuu luvattomiin käsiin joko tahallisesti tai huolimattomuudesta. Tiedon tästä vakuutuksesta säilyttää se Naton jäsenvaltio tai Naton siviili- tai sotilaselin, joka on myöntänyt pääsyn Naton turvallisuusluokiteltuun tietoon. 

15. Kaikille henkilöille, joille on myönnetty pääsy Naton turvallisuusluokiteltuun tietoon tai joiden edellytetään käsittelevän sitä, on aluksi tiedotettava ja säännöllisin väliajoin muistutettava niistä turvallisuusuhkista, joita voi aiheuttaa muun muassa: 

(a) henkilöiden käyttäytyminen työpaikan ulkopuolella, mukaan lukien sosiaalisen median käyttö;  

(b) varomattomat keskustelut sellaisten henkilöiden kanssa, joilla ei ole tiedonsaantitarvetta; 

(c) työskentely työpaikan ulkopuolella ja matkustaessa; 

(d) kyberuhkat; 

(e) henkilöiden suhde tiedotusvälineisiin; ja 

(f) Natoon ja Naton jäsenvaltioihin kohdistuvasta tiedustelutoiminnasta aiheutuva uhka. 

16. Luonnollisten henkilöiden on välittömästi ilmoitettava asianomaisille turvallisuusviranomaisille epäilyttävinä tai epätavanomaisina pitämistään yhteydenotoista tai toimista. 

ENCLOSURE “C” 

C-M(2002)49-REV1 

ENCLOSURE “C” 

PERSONNEL SECURITY 

INTRODUCTION 

1. This Enclosure sets out the policy and minimum standards for Personnel Security. 

Additional details and requirements are found in the supporting Directive on Personnel Security (AC/35-D/2000). 

2. Personnel security processes shall be designed to determine whether an individual can, taking into account their assessed loyalty, trustworthiness and reliability, be authorised to have access to classified information without constituting an unacceptable risk to security. To achieve this, all individuals1, civilian and military, whose duties or functions require access to information 

classified CONFIDENTIAL2 and above shall be appropriately investigated to give a satisfactory level of confidence as to their eligibility for access to such information and as such possess a national Personnel Security Clearance (PSC).3 

3. In terms of access to NATO Classified Information NATO CONFIDENTIAL (NC) and above an individual will require a valid national PSC at the appropriate level along with the confirmation from the appropriate NSA/DSA or other competent security authority that the individual in question may be authorised to access NATO Classified Information. 

APPLICATION OF THE NEED-TO-KNOW PRINCIPLE 

4. Individuals in NATO Nations and in NATO Civil and Military bodies shall only have access to NATO Classified Information for which they have a need-to-know. No individual is entitled solely by virtue of rank or appointment or PSC to have access to NATO Classified Information. 

PERSONNEL SECURITY CLEARANCES (PSCs) 

5. A PSC is not required by NATO Security Policy for access to information classified NATO RESTRICTED (NR).4 Individuals who only require access to information classified NR shall have been briefed on their security obligations in respect to the protection of NATO Classified Information5, shall have acknowledged their security responsibilities in writing or an equivalent method which ensures non-repudiation and shall also have a need-to-know. 

6. An appropriate PSC is required when individuals access information classified NC and above or may have access to such information during the course of their duties. In addition, individuals are required to: 

(a) have a need-to-know; 

(b) have been briefed on their security obligations in respect to the protection of NATO Classified Information; 

(c) have acknowledged their responsibilities either in writing or an equivalent method which ensures non-repudiation. 

7. As an exception to paragraphs 5 and 6 above, access to NATO Classified Information by Senior Government Officials (e.g. Heads of State and Government, Government Ministers, Members of Parliament, Members of the Judiciary) is determined by national laws and regulations; such officials shall be briefed on their security obligations and shall have a need-to-know. 

8. The level of PSC required and, therefore, the extent of security clearance processes 

undertaken shall be determined by the level of classification of the NATO Classified Information to which the individual is to have access. There shall be an agreed standard of confidence regarding the eligibility of individuals granted access to, or whose duties or functions may afford access to, NATO Classified Information. 

9. The granting of a PSC should not be considered as a final step in the personnel security process; there is a requirement to ensure an individual’s continuing eligibility for access to NATO Classified Information. This is to be achieved through effective engagement and regular evaluation by security authorities and managers. This includes assessing any change in circumstance or behaviour with potential security implications. Additionally, the effective use of security education and awareness programme(s) shall be used in order to remind individuals of their security responsibilities and of the need to report, to their managers or security staff, information which may affect their security status. 

Exceptional Circumstances 

10. Circumstances may arise when, for example for urgent mission purposes, some of 

the requirements in paragraph 6 above cannot be met. Details in respect to provisional 

appointments, temporary and emergency access, are set out in the supporting Directive on Personnel Security. 

Responsibilities 

11. It is the responsibility of the NATO Nation, of which the individual is a national, to process PSC applications. This includes the requirement to ensure that their PSC process meets the minimum investigative requirements and criteria for assessing the loyalty, trustworthiness and reliability of an individual in order to be granted a PSC as well as the requirements for renewal of PSC as set out in the Directive on Personnel Security. 

12. NATO Civil and Military bodies are responsible for submitting PSC applications and renewals for their staff to the relevant NSA/DSA or other competent security authority. 

13. The detailed responsibilities of NSAs/ DSAs or other competent security authorities, NATO Nations and the Heads of a NATO Civil or Military bodies are set out in the Directive on Personnel Security. 

SECURITY EDUCATION AND AWARENESS 

14. All individuals employed in positions where they have access to information classified NR, or hold a PSC for access to NC or above, shall be briefed on security procedures and their security obligations. All cleared individuals shall acknowledge that they fully understand their responsibilities 

and the potential consequences to them when NATO Classified Information passes into unauthorised hands either by intent or through negligence. A record of the acknowledgement shall be maintained by the NATO Nation or NATO Civil or Military Body authorising access to NATO 

Classified Information. 

15. All individuals who are authorised access to, or are required to handle NATO Classified Information, shall initially be made aware, and periodically reminded of the threats to security arising from but not limited to the following: 

(a) personal conduct outside the office, including activity on social media; 

(b) indiscreet conversations with individuals without the need-to-know; 

(c) working outside the office and when travelling; 

(d) cyber threats; 

(e) their relationship with the media; and 

(f) the threat presented by the activities of intelligence services which target NATO and its Nations. 

16. Individuals shall report immediately to the appropriate security authorities any approach or manoeuvre which they consider suspicious or unusual. 

LIITE D 

C-M(2002)49-REV1 

LIITE D 

TOIMITILATURVALLISUUS 

JOHDANTO 

1. Tässä liitteessä esitetään periaatteet ja vähimmäisvaatimukset, jotka koskevat fyysisiä turvallisuustoimenpiteitä Naton turvallisuusluokitellun tiedon suojaamiseksi. Lisätietoja ja vaatimuksia löytyy Naton turvallisuussääntöjä tukevasta toimitilaturvallisuutta koskevasta direktiivistä (AC/35-D/2001). 

2. Toimitilaturvallisuudella tarkoitetaan fyysisten suojatoimenpiteiden toteuttamista kohteissa, rakennuksissa, tiloissa tai laitteistoissa, joissa on turvallisuusluokiteltua tietoa, jota on suojeltava katoamiselta tai vaarantumiselta. 

3. Naton jäsenvaltioiden ja Naton siviili- ja sotilaselinten on laadittava aktiivisia ja passiivisia turvallisuustoimenpiteitä sisältävät toimitilaturvallisuuden ohjelmat, joilla saavutetaan yhteinen toimitilaturvallisuuden taso, joka vastaa suojattavan tiedon uhkista, haavoittuvuuksista, turvallisuusluokituksesta ja määrästä tehtyä arviota. 

TURVALLISUUSVAATIMUKSET 

4. Kaikki kohteet, rakennukset, tilat, toimistot, huoneet ja muut alueet, joissa Naton turvallisuusluokiteltua tietoa säilytetään ja/tai käsitellään ja/tai joissa siitä keskustellaan, on suojattava asianmukaisin fyysisin turvallisuustoimenpitein. Tarvittavasta toimitilaturvallisuuden suojauksen tasosta päätettäessä on otettava huomioon kaikki siihen vaikuttavat tekijät, kuten: 

(a) turvallisuusluokituksen taso ja tietoluokka; 

(b) säilytettävän ja/tai käsiteltävän turvallisuusluokitellun tiedon määrä ja muoto (paperi- ja/tai sähköinen muoto); 

(c) kulunvalvonta ja tiedonsaantitarpeen periaatteen täytäntöönpano; 

(d) Natoon ja/tai Naton jäsenvaltioihin kohdistuvasta vihamielisestä tiedustelutoiminnasta aiheutuva uhka sekä paikallisesti arvioitu terrorismin, vakoilun, sabotaasin, kumouksellisen toiminnan ja (järjestäytyneen) rikollisuuden uhka; ja 

(e) turvallisuusluokitellun tiedon tallennustavat (esimerkiksi paperiasiakirja tai sähköinen ja salattu). 

5. Fyysisten turvallisuustoimenpiteiden tarkoituksena on: 

(a) estää tunkeutuminen salaa tai väkisin; 

(b) ehkäistä, estää ja havaita sisäpiiriuhkan toimet; 

(c) mahdollistaa Naton turvallisuusluokiteltuun tietoon pääsevän henkilöstön erottelu sen perusteella, minkä tasoinen henkilöturvallisuusselvitystodistus heillä on ja mikä heidän tiedonsaantitarpeensa on; ja 

(d) havaita kaikki tietoturvapoikkeamat ja ryhtyä niiden osalta tarvittaviin toimenpiteisiin mahdollisimman nopeasti. 

TOIMITILATURVALLISUUTTA KOSKEVAT YLEISET VAATIMUKSET 

6. Fyysiset toimenpiteet ovat vain osa suojaavaa turvallisuutta, ja niitä tukemassa on oltava vakaat henkilöstöturvallisuuden, tietoturvallisuuden ja viestintä- ja tietojärjestelmien turvallisuustoimenpiteet. Turvallisuusriskien järkevään hallintaan kuuluu, että luodaan oikeasuhteisimmat, tehokkaimmat ja kustannusvaikuttavimmat keinot torjua uhkia ja kompensoida haavoittuvuuksia näiden alojen suojatoimenpiteitä yhdistäen. Tehokkuus ja kustannusvaikuttavuus saavutetaan parhaiten määrittelemällä toimitilaturvallisuuden vaatimukset osana tilojen suunnittelua ja rakentamista, mikä vähentää kalliiden peruskorjausten tarvetta. 

7. Toimitilaturvallisuuden ohjelmien on perustuttava syvyyssuuntaisen turvallisuuden periaatteeseen, ja niissä on käytettävä asianmukaista yhdistelmää täydentäviä fyysisiä turvallisuustoimenpiteitä, jotka tarjoavat sellaisen suojan tason, joka täyttää organisaation ja sen tietojen kriittisyyteen ja haavoittuvuuteen liittyvät vaatimukset. 

8. Vaikka fyysiset turvallisuustoimenpiteet ovat kohdekohtaisia ja ne perustuvat useisiin tekijöihin, niiden tulee noudattaa seuraavia yleisiä periaatteita: 

(a) ensin on tunnistettava suojattavat resurssit. Tämän jälkeen luodaan kerroksellisia turvallisuustoimenpiteitä, joilla rakennetaan syvyyssuuntainen turvallisuus ja viivyttävät tekijät; 

(b) uloimmat fyysiset turvallisuustoimenpiteet rajaavat suojatun alueen ja estävät luvattoman pääsyn; 

(c) seuraava toimenpiteiden taso havaitsee luvattoman pääsyn tai sen yrityksen ja varoittaa vartiointihenkilöstöä; ja 

(d) sisin toimenpiteiden taso viivyttää tunkeilijoita niin kauan, että vartiointihenkilöstö voi heidät pidättää. Näin ollen vartijoiden vasteaika ja tunkeilijoiden viivyttämiseen suunnitellut fyysiset turvallisuustoimenpiteet liittyvät toisiinsa. 

9. Fyysisen turvallisuuden laitteet (kuten kameravalvonta, tunkeutumisen ilmaisujärjestelmä, turvakaapit) on huollettava säännöllisesti tai erityisestä syystä sen varmistamiseksi, että ne toimivat parhaalla mahdollisella tavalla. Yksittäisten turvallisuustoimenpiteiden tehokkuutta sekä koko turvallisuusjärjestelmää on myös tarpeen arvioida määräajoin uudelleen. Tämä on erityisen tärkeää, jos kohteen käytössä tai erityisissä turvallisuusjärjestelmän osissa tapahtuu muutoksia. Tämä voidaan saavuttaa turvallisuussuunnitelmien säännöllisellä harjoittelulla.  

Turva-alueet 

10. Pysyvät tai tilapäiset alueet, joilla turvallisuusluokkaan NATO CONFIDENTIAL tai sitä ylempiin turvallisuusluokkiin kuuluvaa tietoa säilytetään tai käsitellään tai joissa siitä keskustellaan, on järjestettävä ja jäsennettävä siten, että ne vastaavat jotakin seuraavista: 

(a) Naton luokan I turva-alue: erityisen arkaluonteinen alue, jossa turvallisuusluokkaan NATO CONFIDENTIAL ja sitä ylempiin turvallisuusluokkiin kuuluvaa tietoa säilytetään ja/tai käsitellään ja/tai siitä keskustellaan siten, että alueelle tulo merkitsee käytännössä Naton turvallisuusluokiteltuun tietoon pääsyä, jolloin luvaton tulo alueelle olisi tietoturvaloukkaus. 

Tällaisia alueita voivat olla operaatiotilat, viestintäkeskukset tai arkistotilat, ja niissä täytyy olla: 

(i) selkeästi määritetyt ja suojatut rajat, joilla valvotaan kaikkea kulkua sisään ja ulos; 

(ii) kulunvalvontajärjestelmä, joka päästää alueelle vain henkilöt, joilla on asianmukainen turvallisuusselvitys ja erityinen lupa Erityisen luvan haltijoilla tarkoitetaan henkilöstöä, joilla on muodollisesti tunnustettu tiedonsaantitarve ja pääsy tietoon työtehtäviensä luonteen perusteella ja jotka ovat kulunvalvontalistalla, sekä henkilöitä, jotka kyseessä olevan organisaation päällikkö on tapauskohtaisesti muodollisesti valtuuttanut suorittamaan tiettyä tehtävää.1 Specifically authorised refers to those personnel who have been formally recognised as having a need-to-know and access based on the nature of their employment responsibilities, and are included on an access control list, as well as individuals who have been formally authorised by the head of the organization in question on an ad hoc basis to perform a specific role or duty. tulla alueelle; 

(iii) määrittely turvallisuusluokituksen tasosta ja alueella tavanomaisesti säilytettävän tiedon luokasta eli siitä tiedosta, johon alueelle tulo antaa pääsyn; ja 

(iv) selkeä maininta siitä, että alueelle tulo vaatii paikallisen turvallisuusviranomaisen erityisen luvan. Tämä maininta voi sisältää tiedon turvallisuusluokituksen tasosta ja/tai alueen arkaluonteisuudesta. 

(b) Naton luokan II turva-alue: alue, jolla turvallisuusluokkaan NATO CONFIDENTIAL ja sitä ylempiin turvallisuusluokkiin kuuluvaa tietoa säilytetään ja/tai käsitellään ja/tai siitä keskustellaan siten, että ulkopuolisten henkilöiden pääsy tietoon voidaan estää sisäisesti perustetuin valvontajärjestelmin.  

Tällaisia alueita voivat olla työskentelytilat tai neuvotteluhuoneet, joissa Naton turvallisuusluokiteltua tietoa säilytetään, ja/tai käsitellään ja/tai siitä keskustellaan. Näillä alueilla täytyy olla: 

(i) selkeästi määritetyt ja suojatut rajat, joilla valvotaan kaikkea kulkua sisään ja ulos; 

(ii) kulunvalvontajärjestelmä, joka päästää alueelle ilman saattajaa vain henkilöt, joilla on asianmukainen turvallisuusselvitys ja lupa tulla alueelle; ja 

(iii) saattaja tai vastaava valvontamekanismi, jonka avulla järjestetään sellaisten henkilöiden kulku, jotka eivät täytä edellä b) ii) alakohdassa kuvattuja perusteita, jotta voidaan estää luvaton pääsy Naton turvallisuusluokiteltuun tietoon ja hallitsematon pääsy alueille, jotka on nimenomaisesti nimetty teknisiltä hyökkäyksiltä ja salakuuntelulta suojatuiksi alueiksi. 

Hallinnollinen vyöhyke 

11. Naton luokan I tai II turva-alueiden ympärille tai niille johtavalle alueelle on perustettava hallinnollinen vyöhyke. Hallinnollisilla vyöhykkeillä sallitaan vain turvallisuusluokkaan NATO RESTRICTED kuuluvan tiedon säilyttäminen ja/tai käsittely ja/tai siitä keskusteleminen. Tällaisilla alueilla on oltava selkeästi määritetyt näkyvät rajat, joilla on mahdollisuus tarkastaa henkilöt ja ajoneuvot. Henkilöt eivät kuitenkaan tarvitse saattajaa. 

Teknisesti suojatut turva-alueet 

12. Teknisesti suojatut turva-alueet ovat joko pysyviä tai tilapäisiä alueita, jotka on nimenomaisesti tunnistettu teknisiltä hyökkäyksiltä ja salakuuntelulta suojattaviksi alueiksi. Tällaisilla alueilla on tehtävä säännöllisiä fyysisiä ja teknisiä tarkastuksia, ja niille kulkua on valvottava tarkasti. Teknisiltä hyökkäyksiltä ja salakuuntelulta on suojauduttava seuraavilla toimenpiteillä: 

(a) Asianmukainen fyysisten ja teknisten turvallisuustoimenpiteiden taso kulunvalvonnan toteuttamiseksi riskiin perustuen. Riskin määrittämisen vastuun jakavat asianmukaiset tekniset asiantuntijat sekä turvallisuusviranomainen, joka neuvoo riskin omistajaa päätöksentekoon tai hyväksymiseen liittyen. 

(b) Tällaiset alueet on lukittava ja/tai niitä on vartioitava silloin, kun niitä ei käytetä, ja kaikkia avaimia tulee käsitellä turva-avaimina. Alueella on tehtävä säännöllisiä fyysisiä ja/tai teknisiä tarkastuksia asianmukaisen turvallisuusviranomaisen vaatimusten mukaisesti. Tarkastuksia on tehtävä myös luvattoman alueelle tulon tai sen epäilyn jälkeen sekä ulkopuolisen henkilöstön (esimerkiksi huoltotöiden tai remontin vuoksi) alueelle tulon jälkeen. 

(c) Näille alueille ei saa tuoda mitään esineitä, kalusteita tai laitteita ennen kuin koulutettu turvallisuushenkilöstö on tutkinut ne salakuuntelulaitteiden varalta. Kaikista alueelle tuoduista tai viedyistä esineistä, kalusteista ja laitteista on pidettävä asianmukaista luetteloa. 

(d) Alueilla ei saa olla tallentavia ja/tai lähettäviä elektronisia järjestelmiä tai laitteita. 

(e) Alueille ei yleensä saa asentaa puhelimia ja muita videoneuvottelulaitteita. Jos niiden asentaminen kuitenkin on välttämätöntä, ne tulee irrottaa verkosta, kun tilassa keskustellaan turvallisuusluokitelluista asioista. Tämä ei koske asianmukaisesti asennettuja ja hyväksyttyjä viestintävälineitä. 

ERITYISET FYYSISET TURVALLISUUSTOIMENPITEET 

13. Erilaiset erityiset fyysiset ja tekniset turvallisuustoimenpiteet ja -menettelyt voivat edistää organisaation tai kohteen turvallisuuskehystä. Tällaisiin toimiin ja menettelyihin kuuluvat muun muassa: rajattu-alue, tunkeutumisen ilmaisujärjestelmä, kulunvalvonta, kameravalvonta, turvavalaistus, turvakaapit ja toimistokalusteet, lukot, avainten ja numeroyhdistelmien valvonta, vierailijahallinta, sisään- ja ulostulotarkastukset. Tarkempia tietoja erityisistä fyysisistä ja teknisistä turvallisuustoimenpiteistä ja -menettelyistä on Naton turvallisuussääntöjä tukevassa toimitilaturvallisuutta koskevassa direktiivissä. 

NATON TURVALLISUUSLUOKITELLUN TIEDON SÄILYTTÄMISEN VÄHIMMÄISVAATIMUKSET 

14. Naton turvallisuusluokiteltua tietoa on säilytettävä alueilla, turvakaapeissa ja/tai toimistokalusteissa, jotka on suunniteltu estämään ja havaitsemaan luvattoman pääsyn tietoon. 

15. COSMIC TOP SECRET (CTS). Turvallisuusluokkaan COSMIC TOP SECRET kuuluva tieto on säilytettävä luokan I tai II turva-alueella noudattaen jotain seuraavista ehdoista: 

(a) hyväksytyssä turvakaapissa soveltaen ainakin yhtä seuraavista lisävalvontakeinoista: 

(i) jatkuva suojaus turvallisuusselvitetyn vartiointihenkilöstön tai päivystyshenkilöstön toimesta; 

(ii) turvakaapin tarkastus vähintään kahden tunnin välein satunnaisin väliajoin turvallisuusselvitetyn vartiointihenkilöstön tai päivystyshenkilöstön toimesta; tai 

(iii) hyväksytty tunkeutumisen ilmaisujärjestelmä ja hälytyksiin vastaava turvallisuushenkilöstö, joka hälytyksen saatuaan saapuu paikalle siinä ajassa, jonka arvioidaan kuluvan turvakaapin poistamiseen tai murtamiseen tai käytössä olevien fyysisten turvallisuustoimenpiteiden nujertamiseen; 

(b) toimitilaturvallisuutta koskevan direktiivin vaatimusten mukaisesti rakennetulla avoimella varastoalueella, jossa on tunkeutumisen ilmaisujärjestelmä sekä hälytyksiin vastaava turvallisuushenkilöstö, joka hälytyksen saatuaan saapuu paikalle siinä ajassa, jonka arvioidaan kuluvan alueelle väkisin tunkeutumiseen; tai 

(c) tunkeutumisen ilmaisujärjestelmällä varustetussa kassaholvissa, jonka lisäksi on oltava hälytyksiin vastaava turvallisuushenkilöstö, joka hälytyksen saatuaan saapuu paikalle siinä ajassa, jonka arvioidaan kuluvan kassaholviin väkisin tunkeutumiseen. 

16. NATO SECRET (NS). Turvallisuusluokkaan NATO SECRET kuuluva tieto on säilytettävä luokan I tai II turva-alueella jollakin seuraavalla tavalla: 

(a) siten kuin turvallisuusluokkaan COSMIC TOP SECRET kuuluvan tiedon säilyttämisestä on määrätty; 

(b) hyväksytyssä turvakaapissa tai kassaholvissa ilman lisävalvontakeinoja; tai 

(c) avoimella varastoalueella, jolloin edellytetään ainakin yhtä seuraavista lisävalvontakeinoista: 

(i) avoimen varastoalueen sijoitustilaa suojaa jatkuvasti turvallisuusselvitetty vartiointihenkilöstö tai päivystyshenkilöstö; 

(ii) turvallisuusselvitetty vartiointihenkilöstö tai päivystyshenkilöstö tarkastaa avoimen varastoalueen vähintään kerran neljän tunnin välein; tai 

(iii) tunkeutumisen ilmaisujärjestelmä, jonka lisäksi on oltava hälytyksiin vastaava turvallisuushenkilöstö, joka hälytyksen saatuaan saapuu paikalle siinä ajassa, jonka arvioidaan kuluvan alueelle väkisin tunkeutumiseen. 

17. NATO CONFIDENTIAL (NC). Turvallisuusluokkaan NATO CONFIDENTAL kuuluva tieto on säilytettävä luokan I tai II turva-alueella hyväksytyssä turvakaapissa. 

18. NATO RESTRICTED (NR). Turvallisuusluokkaan NATO RESTRICTED kuuluva tieto on säilytettävä lukitussa kaapissa tai toimistokalusteessa (esimerkiksi toimistopöydän laatikossa) hallinnollisella vyöhykkeellä, luokan I turva-alueella tai luokan II turva-alueella. Turvallisuusluokkaan NATO RESTRICTED kuuluvaa tietoa voidaan säilyttää myös lukitussa kaapissa, kassaholvissa tai avoimella varastoalueella, joka on hyväksytty turvallisuusluokkaan NATO CONFIDENTIAL tai sitä ylempään turvallisuusluokkaan kuuluvan tiedon säilyttämiseen. 

19. Lisätietoja ja -vaatimuksia Naton turvallisuusluokitellun tiedon säilyttämisestä annetaan Naton turvallisuussääntöjä tukevassa toimitilaturvallisuutta koskevassa direktiivissä. 

VIESTINTÄ- JA TIETOJÄRJESTELMIEN FYYSINEN SUOJAAMINEN 

20. Alueet, joilla Naton turvallisuusluokiteltua tietoa esitetään tai käsitellään tietotekniikkaa käyttäen, tai joilla on mahdollista päästä sellaiseen tietoon, on perustettava niin, että luottamuksellisuuden, eheyden ja käytettävyyden kokonaisvaatimus täyttyy. 

21. Alueet, joilla viestintä- ja tietojärjestelmiä käytetään turvallisuusluokkaan NATO CONFIDENTIAL tai sitä ylempiin turvallisuusluokkiin kuuluvan tiedon näyttämiseen, tallentamiseen, käsittelyyn tai siirtämiseen tai joissa on mahdollista päästä sellaiseen tietoon, on perustettava Naton luokan I tai II turva-alueena tai vastaavan kansallisen tason alueena. Alueet, joilla viestintä- ja tietojärjestelmiä käytetään turvallisuusluokkaan NATO RESTRICTED kuuluvan tiedon näyttämiseen, tallentamiseen, käsittelyyn tai siirtämiseen tai joilla on mahdollista päästä sellaiseen tietoon, voidaan perustaa hallinnollisina vyöhykkeinä. 

22. Pääsyä alueille, joilla säilytetään ja hallitaan kriittisiä viestintä- ja tietojärjestelmien osia, on nimenomaisesti valvottava, ja pääsy on rajoitettava koskemaan vain sellaista turvallisuuteen ja järjestelmä-/verkko-/salaushallintaan liittyvää henkilöstöä, jolla on lupa olla alueella. 

SUOJAAMINEN TEKNISILTÄ HYÖKKÄYKSILTÄ 

23. Työskentelytilat tai alueet, joissa säännöllisesti keskustellaan turvallisuusluokkaan NATO SECRET tai sitä ylempiin turvallisuusluokkiin kuuluvasta tiedosta, on suojattava passiivisia ja aktiivisia salakuunteluhyökkäyksiä vastaan luotettavilla fyysisillä turvallisuustoimenpiteillä ja kulunvalvonnalla, kun riski sitä edellyttää. Vastuu riskin määrittämisestä tulee koordinoida teknisten asiantuntijoiden kanssa, ja siitä päättää asianmukainen turvallisuusviranomainen. Lisätietoja passiiviselta ja aktiiviselta salakuuntelulta suojautumisesta on Naton turvallisuussääntöjä tukevassa toimitilaturvallisuutta koskevassa direktiivissä. 

HYVÄKSYTYT LAITTEET 

24. Naton jäsenvaltioiden tulee käyttää vain sellaisia laitteita, jotka asianmukainen turvallisuusviranomainen on hyväksynyt Naton turvallisuusluokitellun tiedon suojaamiseen. Naton siviili- ja sotilaselinten on varmistettava, että hankitut laitteet on hyväksytty käyttöön vastaavissa olosuhteissa jossakin Naton jäsenvaltiossa. Naton siviili- ja sotilaselimet voivat myös hankkia asianmukaisen turvallisuusviranomaisen käyttöön hyväksymiä laitteita, kun hankinta perustuu tehtyyn riskinarviointiin, joka tukee tunnistetun riskin tai tunnistettujen riskien vähentämistä tai lieventämistä. 

LIITE E 

C-M(2002)49-REV1 

LIITE E 

NATON TURVALLISUUSLUOKITELLUN TIEDON TURVALLISUUS 

JOHDANTO 

1. Tässä liitteessä esitetään Naton turvallisuusluokitellun tiedon turvallisuutta koskevat periaatteet ja vähimmäisvaatimukset. Lisätietoja ja -vaatimuksia on Naton turvallisuussääntöjä tukevassa direktiivissä Naton turvallisuusluokitellun tiedon turvallisuudesta (AC/35-D/2002). 

2. Tietoturvallisuus on yleisten suojaustoimenpiteiden ja -menettelyjen soveltamista turvallisuusluokitellun tiedon katoamisen tai vaarantumisen estämiseksi, sekä katoamisen tai vaarantumisen havaitsemiseksi ja korjaamiseksi. Turvallisuusluokiteltua tietoa on suojattava koko sen elinkaaren ajan sen turvallisuusluokan mukaisella tasolla. Tietoa hallittaessa varmistetaan, että se on asianmukaisesti luokiteltu, selvästi määritetty turvallisuusluokitelluksi ja pysyy turvallisuusluokiteltuna ainoastaan niin kauan kuin tämä on tarpeen. Tietoturvallisuutta täydennetään henkilöstöturvallisuudella, toimitilaturvallisuudella sekä viestintä- ja tietojärjestelmien turvallisuudella, jotta varmistetaan tasapainoinen toimenpiteiden kokonaisuus Naton turvallisuusluokitellun tiedon suojaamiseksi. 

NATON TURVALLISUUSLUOKAT, ERITYISET TUNNUKSET, MERKINNÄT JA YLEISET PERIAATTEET 

3. Alkuperäinen luovuttaja vastaa turvallisuusluokitellun tiedon turvallisuusluokan määrittämisestä ja tiedon alustavasta jakelusta. 

4. Turvallisuusluokkaa ei saa vaihtaa eikä alentaa eikä turvallisuusluokitusta saa poistaa ilman alkuperäisen luovuttajan suostumusta. Turvallisuusluokkaa määrittäessään alkuperäinen luovuttaja ilmoittaa mahdollisuuksien mukaan, voidaanko sitä alentaa tai voidaanko tiedon luokitus poistaa tiettynä ajankohtana tai tietyn tapahtuman jälkeen. 

5. Tiedolle annettu turvallisuusluokka määrää sen, minkälaisella toimitilaturvallisuudella ja viestintä- ja tietojärjestelmien turvallisuudella tietoa suojataan sitä säilytettäessä, siirrettäessä, välitettäessä, jaettaessa ja hävitettäessä sekä minkälaista henkilöturvallisuusselvitystodistusta pääsy kyseiseen tietoon edellyttää. Siksi tosiasiallisen turvallisuuden ja tehokkuuden vuoksi on vältettävä tiedon luokittelemista sekä liian korkeaan että liian alhaiseen turvallisuusluokkaan. 

6. Turvallisuusluokat merkitään turvallisuusluokiteltuun tietoon osoittamaan sitä vahinkoa, joka Naton ja/tai sen jäsenvaltioiden turvallisuudelle voi aiheutua, jos tieto altistuu luvattomalle ilmitulolle. Turvallisuusluokitellun tiedon alkuperäisellä luovuttajalla on etuoikeus määrätä turvallisuusluokka tai muuttaa sitä. Naton turvallisuusluokat ja niiden merkitykset ovat seuraavat: 

(a) COSMIC TOP SECRET (CTS) 

luvaton ilmitulo aiheuttaisi Natolle poikkeuksellisen vakavaa vahinkoa; 

(b) NATO SECRET (NS) 

luvaton ilmitulo aiheuttaisi Natolle vakavaa vahinkoa; 

(c) NATO CONFIDENTIAL (NC) 

luvaton ilmitulo aiheuttaisi Natolle vahinkoa; ja 

(d) NATO RESTRICTED (NR) 

luvaton ilmitulo haittaisi Naton etuja tai sen toiminnan tehokkuutta. 

7. Naton turvallisuusluokat osoittavat Naton turvallisuusluokitellun tiedon arkaluonteisuuden, ja niitä sovelletaan tarkoituksena kiinnittää vastaanottajien huomio tarpeeseen varmistaa tiedon suojaaminen sen vahingon vakavuuden mukaan, joka luvattomasta pääsystä tietoon tai sen luvattomasta ilmitulosta aiheutuisi. 

8. Ryhmään NATO UNCLASSIFIED kuuluvaa tietoa ja julkista tietoa suojataan ja käsitellään Naton tiedonhallinnan periaatteiden (C-M(2007)0118) ja Naton turvallisuusluokittelemattoman tiedon hallintaa koskevan asiakirjan (C-M(2002)60) mukaisesti. 

9. Naton operaatioiden, koulutuksen, harjoitusten, transformaation ja yhteistyön (OTETC) suunnittelu, valmistelu, toteuttaminen ja tukeminen voi edellyttää myös tiettyjen muiden turvallisuusnäkökulmien huomioon ottamista; Naton turvallisuussääntöjä tukeva asiakirja tiedustelutiedon ja muun tiedon jakamisesta muiden kuin Natoon kuuluvien toimijoiden kanssa (AC/35-D/1040) sisältää näissä tilanteissa sovellettavat turvallisuusmääräykset ja ohjeet. 

10. Naton jäsenvaltiot ja Naton sotilas- ja siviilielimet toteuttavat toimenpiteet, joilla varmistetaan, että Naton tuottamalle ja Natolle annettavalle turvallisuusluokitellulle tiedolle määritetään oikea turvallisuusluokka ja että tämä tieto suojataan Naton turvallisuussääntöjä tukevan Naton turvallisuusluokitellun tiedon turvallisuutta koskevan direktiivin vaatimusten mukaisesti. 

11. Kukin Naton sotilas- ja siviilielin ottaa käyttöön järjestelmän, jonka avulla varmistetaan, että sen luovuttamaa turvallisuusluokkaan COSMIC TOP SECRET luokiteltua tietoa arvioidaan uudelleen vähintään viiden vuoden välein ja luokkaan NATO SECRET luokiteltua tietoa vähintään 10 vuoden välein tarkoituksena tarkistaa, onko turvallisuusluokkia edelleen sovellettava. Tätä arviointia ei tarvita, jos alkuperäinen luovuttaja on määrännyt ennalta, että tietyn Naton turvallisuusluokitellun tiedon turvallisuusluokkaa alennetaan ilman eri toimenpiteitä ennalta määrätyn ajan jälkeen, ja jos tämä on merkitty kyseiseen tietoon.  

12. Koko asiakirjan turvallisuusluokan on oltava vähintään yhtä korkea kuin sen korkeimmalle turvallisuusluokitellun osan luokka. Kansiasiakirjoihin on merkittävä niihin liitettyyn tietoon kokonaisuutena sovellettava Naton turvallisuusluokka. Mahdollisuuksien mukaan alkuperäisen luovuttajan olisi asianmukaisesti merkittävä turvallisuusluokkaan NATO RESTRICTED ja sitä ylempiin turvallisuusluokkiin luokiteltujen asiakirjojen osat, kuten kappaleet, liitteet, lisäykset jne., helpottaakseen päätöksiä asiakirjojen jakelusta eteenpäin. 

13. Kun suuri määrä Naton turvallisuusluokiteltua tietoa kootaan yhteen, sen alkuperäiset turvallisuusluokitusmerkinnät on säilytettävä ja on arvioitava, miten tämän tietokokonaisuuden katoaminen tai vaarantuminen vaikuttaisi järjestöön. Jos tämä kokonaisvaikutus arvioidaan suuremmaksi kuin kyseisten yksittäisten Naton turvallisuusluokkien mukainen vaikutus, olisi harkittava kyseisen tietokokonaisuuden käsittelemistä ja suojaamista sen turvallisuusluokan mukaisesti, joka vastaa sen katoamisen tai vaarantumisen arvioitua vaikutusta. 

Lisämerkinnät  

14. COSMIC ja NATO ovat Natoon viittaavia merkintöjä, jotka Naton turvallisuusluokiteltuun tietoon tehtyinä osoittavat, että tietoa on suojattava Naton turvallisuusperiaatteiden mukaisesti. 

Erityisluokkien tunnukset 

15. "ATOMAL" on merkintä, joka tehdään erityisluokan tietoon osoittamaan, että tieto on suojattava Pohjois-Atlantin sopimuksen osapuolten välillä ydinpuolustustietoja koskevasta yhteistyöstätehdyn sopimuksen (C-M(64)39) ja sitä tukevien hallinnollisten järjestelyjen (C-M(68)41) mukaisesti.  

16. "SIOP" on merkintä, joka tehdään erityisluokan tietoon osoittamaan, että tiedon suojaamisessa on noudatettava asiakirjaa C-M(71)27(Revised), joka koskee erityismenettelyjä Yhdysvaltojen yhteistä operaatiosuunnitelmaa (US-SIOP) koskevan tiedon käsittelemiseksi Natossa. 

17. "CRYPTO" on merkintä ja erityisluokan tunnus, joka merkitään kaikkeen COMSEC-avainmateriaaliin, jota käytetään suojaamaan tai todentamaan televiestintää, joka sisältää Naton salausten turvallisuuteen liittyvää tietoa ja joka osoittaa, että tieto on suojattava asianmukaisten salausturvallisuusperiaatteiden ja ohjeiden mukaisesti. 

18. "BOHEMIA" on merkintä, joka tehdään viestitiedustelusta saatuun tai siihen liittyvään erityisluokan tietoon. Kaikki merkinnällä COSMIC TOP SECRET – BOHEMIA merkitty tieto suojataan noudattaen tarkasti asiakirjaa MC 101 (Naton signaalitiedustelun periaatteet) ja siihen liittyvää liittokunnan yhteistä AJP-julkaisua, jossa käsitellään sovellettavia periaatteita, sekä Naton signaalitiedustelun neuvoa-antavan komitean SIGINT-hallinnon ja -menettelyjen oppaan määräyksiä. 

Merkinnät jakelun rajoittamisesta 

19. Tiedon alkuperäinen luovuttaja voi käyttää merkintää jakelun rajoittamisesta lisämerkintänä, jolla Naton turvallisuusluokitellun tiedon jakelua rajoitetaan tarkemmin. 

VALVONTA JA KÄSITTELY 

Tilivelvollisuuden tavoitteet 

20. Tilivelvollisuuden ensisijaisena tavoitteena on saada käyttöön riittävät tiedot, joiden avulla pystytään tutkimaan tahallinen tai tahaton tilivelvollisuuden alaisen tiedon katoaminen tai vaarantuminen sekä arvioimaan katoamisesta tai vaarantumisesta aiheutunut vahinko. Tilivelvollisuuden vaatimuksen tarkoituksena on kurinalaisuus tilivelvollisuuden alaisen tiedon käsittelyssä ja siihen pääsyn valvonnassa. 

21. Tilivelvollisuuden vaatimuksen toissijaisina tavoitteina on 

(a) seurata pääsyä tilivelvollisuuden alaiseen tietoon: kenellä on tosiasiallisesti tai mahdollisesti ollut pääsy tällaiseen tietoon, ja kuka on yrittänyt päästä siihen; 

(b) pysyä selvillä tilivelvollisuuden alaisen tiedon sijainnista; 

(c) seurata tilivelvollisuuden alaisen tiedon liikkeitä Natossa ja kansallisesti; ja 

(d) pitää kirjaa Naton ulkopuolisille toimijoille luovutetusta tilivelvollisuuden alaisesta tiedosta. 

22. Luokkiin COSMIC TOP SECRET, NATO SECRET ja ATOMAL luokiteltu tieto on tilivelvollisuuden alaista, ja sitä on valvottava ja käsiteltävä noudattaen tämän liitteen vaatimuksia sekä Naton turvallisuusluokitellun tiedon turvallisuutta koskevaa tätä liitettä tukevaa direktiiviä. Jos kansalliset säädökset ja määräykset sitä edellyttävät, sellainen tieto, johon on merkitty muu turvallisuusluokka tai erityisluokan merkintä, voidaan katsoa tilivelvollisuuden alaiseksi tiedoksi. 

Rekisterijärjestelmä 

23. Rekisterijärjestelmän turvallisuusmenettelyjä ja -vaatimuksia sovelletaan yhtäläisesti sekä fyysisessä että sähköisessä ympäristössä. Sähköistä ympäristöä koskevia lisätietoja ja -vaatimuksia on tämän C-M-asiakirjan liitteessä F ja tätä asiakirjaa tukevissa ohjeissa. 

24. Käytössä on oltava rekisterijärjestelmä, joka vastaa tilivelvollisuuden alaisen tiedon vastaanottamisesta, kirjaamisesta, käsittelystä, jakelusta ja hävittämisestä. Tämä vastuu voidaan täyttää joko käyttämällä yhtä rekisterijärjestelmää, jolloin turvallisuusluokkaan COSMIC TOP SECRET ja muuhun erityisluokkaan luokiteltu tieto on kaikkina aikoina pidettävä tarkasti osastoituna, tai perustamalla erilliset rekisterit ja valvontapisteet. 

25. Tapauksen mukaan kukin Naton jäsenvaltio ja Naton sotilas- ja siviilielin perustaa yhden tai useamman turvallisuusluokkaan COSMIC TOP SECRET luokitellun tiedon keskusrekisterin, joka toimii sen jäsenvaltion tai elimen vastaanottavana ja lähettävänä pääviranomaisena, johon rekisteri on perustettu. Tällainen keskusrekisteri voi toimia myös tilivelvollisuuden alaisen muun tiedon rekisterinä. 

26. Rekisterit ja valvontapisteet toimivat vastuuorganisaatioina turvallisuusluokkiin COSMIC TOP SECRET ja NATO SECRET luokitellun tiedon sisäisessä jakelussa sekä kaiken kyseisen rekisterin tai valvontapisteen vastuulla olevan tilivelvollisuuden alaisen tiedon kirjaamisessa; ne voidaan perustaa ministeriöiden, osastojen tai komento-osastojen tasolle. Turvallisuusluokkiin NATO CONFIDENTIAL ja NATO RESTRICTED luokiteltua tietoa ei tarvitse kirjata rekisterijärjestelmään, jolleivät kansalliset säädökset ja määräykset tätä edellytä. 

27. Rekisterien ja valvontapisteiden on kaikkina aikoina pystyttävä paikantamaan Naton tilivelvollisuuden alaisen tiedon sijainti. Harvoin sallittava ja tilapäinen pääsy tällaiseen tietoon ei välttämättä edellytä rekisterin tai valvontapisteen perustamista, jos käytössä on menettelyt, joilla varmistetaan, että tieto pysyy rekisterijärjestelmän valvonnassa. 

28. Turvallisuusluokkaan COSMIC TOP SECRET luokitellun tiedon jakelun on tapahduttava COSMIC-rekisterin välityksellä. Kunkin rekisterin on vähintään kerran vuodessa luetteloitava kaikki turvallisuusluokkaan COSMIC TOP SECRET luokiteltu tieto, josta rekisteri on tilivelvollinen, noudattaen Naton turvallisuusluokitellun tiedon turvallisuutta koskevan Naton turvallisuussääntöjä tukevan direktiivin vaatimuksia. Rekisteriorganisaation tyypistä riippumatta niiden organisaatioiden, jotka käsittelevät turvallisuusluokkaan COSMIC TOP SECRET luokiteltua tietoa, on nimettävä COSMIC-tiedon valvoja (CCO). 

29. Naton turvallisuussääntöjä tukevassa direktiivissä Naton turvallisuusluokitellun tiedon turvallisuudesta käsitellään muun muassa COSMIC-tiedon valvojan tehtäviä, turvallisuusluokkiin COSMIC TOP SECRET ja NATO SECRET luokitellun tiedon yksityiskohtaisia käsittelyprosesseja rekisterijärjestelmässä, Naton turvallisuusluokitellun tiedon jäljennöksiä, käännöksiä ja otteita koskevia menettelyjä, sen jakelua ja lähettämistä koskevia vaatimuksia sekä sen hallussapitoa ja hävittämistä koskevia vaatimuksia. 

30. Sotilaskomitea on perustanut erillisen järjestelmän salausaineistoa koskevan tilivelvollisuuden täyttämistä sekä salausaineiston valvontaa ja jakelua varten. Tämän järjestelmän kautta välitettävä aineisto ei edellytä tilivelvollisuuden täyttämistä rekisterijärjestelmässä. 

VALMIUSSUUNNITTELU 

31. Naton jäsenvaltiot ja Naton sotilas- ja siviilielimet laativat valmiussuunnitelmat Naton turvallisuusluokitellun tiedon suojaamiseksi ja hävittämiseksi poikkeusolojen aikana estääkseen luvattoman pääsyn tähän tietoon sekä sen luvattoman ilmitulon ja sen käytettävyyden estymisen. Nämä suunnitelmat perustuvat määräajoin tarkistettaviin uhka-arvioihin, ja niissä asetetaan etusijalle arkaluonteisin sekä tehtävän tai ajan kannalta ratkaisevin tieto. 

TIETOTURVAPOIKKEAMAT  

32. Tietoturvapoikkeama on tapahtuma tai muu tilanne, joka voi vaikuttaa haitallisesti Naton turvallisuusluokitellun tiedon turvallisuuteen ja joka edellyttää tarkempia tutkintatoimia, jotta voidaan todeta tarkasti, onko kyseessä tietoturvaloukkaus vai vähäinen tietoturvapoikkeama.  

Tietoturvaloukkaus 

33. Tietoturvaloukkaus on tahallinen tai tahaton teko tai laiminlyönti, joka on näiden turvallisuussääntöjen vastainen ja voi johtaa Naton turvallisuusluokitellun tiedon tai sitä tukevien palvelujen ja resurssien tosiasialliseen tai mahdolliseen vaarantumiseen. 

Vaarantuminen 

34. Vaarantuminen tarkoittaa tilannetta, jossa tietoturvaloukkauksen tai haitallisen toiminnan vuoksi Naton turvallisuusluokiteltu tieto on menettänyt luottamuksellisuutensa, eheytensä tai käytettävyytensä tai tätä tietoa tukevat palvelut ja resurssit ovat menettäneet eheytensä tai käytettävyytensä. Vaarantumiseen sisältyvät katoaminen, ilmitulo asiattomille, luvaton muuttaminen, hävittäminen luvattomalla tavalla ja palvelun estyminen. 

Vähäinen tietoturvapoikkeama 

35. Vähäinen tietoturvapoikkeama on tahallinen tai tahaton teko tai laiminlyönti, joka on näiden turvallisuussääntöjen vastainen, mutta ei johda Naton turvallisuusluokitellun tiedon tosiasialliseen tai mahdolliseen vaarantumiseen. 

36. Kaikista tosiasiallisista ja mahdollisista tietoturvaloukkauksista on ilmoitettava viipymättä toimivaltaiselle turvallisuusviranomaiselle. Kaikki ilmoitetut tietoturvaloukkaukset on tutkittava sellaisten henkilöiden toimesta, joilla on asiantuntemusta turvallisuuden, tutkinnan ja tarvittaessa vastatiedustelun alalla ja jotka ovat riippumattomia niistä henkilöistä, joita tietoturvaloukkaus välittömästi koskee. Naton turvallisuussääntöjä tukevassa direktiivissä Naton turvallisuusluokitellun tiedon turvallisuudesta selostetaan yksityiskohtaisesti toimia, jotka on toteutettava todettaessa tietoturvaloukkaus tai vähäinen tietoturvapoikkeama. 

ILMOITTAMINEN 

37. Naton turvallisuusluokiteltuun tietoon kohdistuneiden tietoturvaloukkausten ja vaarantumisten ilmoittamisella pyritään ensisijaisesti antamaan tiedon luovuttaneelle Naton organisaatiolle mahdollisuus arvioida Natolle aiheutunut vahinko ja ryhtyä tarpeellisiksi katsottaviin tai mahdollisiin toimenpiteisiin vahingon minimoimiseksi. Kansallinen turvallisuusviranomainen / määrätty turvallisuusviranomainen tai kyseisen Naton sotilas- tai siviilielimen johtaja välittää tiedot vahingon arvioinnista ja vahingon mimimoimiseksi tehdyistä toimenpiteistä Naton turvallisuustoimistolle. 

38. Ilmoittavan viranomaisen olisi mahdollisuuksien mukaan ilmoitettava asiasta tiedon luovuttaneelle Naton organisaatiolle samaan aikaan kuin Naton turvallisuustoimistolle, mutta Naton turvallisuustoimistoa voidaan pyytää tekemään ilmoitus, jos alkuperäistä luovuttajaa on vaikea selvittää. Naton turvallisuustoimistolle tehtävien ilmoitusten ajoitus riippuu tiedon arkaluonteisuudesta ja olosuhteista. 

39. Naton turvallisuustoimisto voi Naton pääsihteerin puolesta pyytää toimivaltaisia viranomaisia tutkimaan asiaa tarkemmin ja ilmoittamaan havainnoistaan Naton turvallisuustoimistolle. Olosuhteista ja vaarantumisen vakavuudesta riippuen Naton turvallisuustoimisto voi ilmoittaa asiasta turvallisuuskomitealle. 

40. Naton turvallisuussääntöjä tukevassa direktiivissä Naton turvallisuusluokitellun tiedon turvallisuudesta käsitellään tietoturvaloukkauksiin ja turvallisuuden vaarantumisiin liittyviä yksityiskohtaisia toimia, kirjauksia ja ilmoittamista koskevia vaatimuksia 

41. Sotilaskomitea on antanut Naton jäsenvaltioiden viestintäturvallisuusviranomaisille ja Naton sotilas- ja siviilielimille erilliset määräykset salausaineiston vaarantumisesta. 

ENCLOSURE “D” 

C-M(2002)49-REV1 

ENCLOSURE “D” 

PHYSICAL SECURITY 

INTRODUCTION 

1. This Enclosure sets out the policy and minimum standards for physical security measures for the protection of NATO Classified Information. Additional details and requirements are found in the supporting Directive on Physical Security (AC/35-D/2001). 

2. Physical security is the application of physical protective measures to sites, buildings, facilities or installations that contain classified information requiring protection against loss or compromise. 

3. NATO Nations and NATO Civil and Military bodies shall establish physical security 

programmes, consisting of active and passive security measures, to provide a common degree of physical security consistent with the assessment of the threats, vulnerabilities, security classification and quantity of the information to be protected. 

SECURITY REQUIREMENTS 

4. All sites, buildings, facilities, offices, rooms, and other areas in which NATO Classified Information is stored, handled and/or discussed shall be protected by appropriate physical security measures. In deciding what degree of physical security protection is necessary, account shall be taken of all relevant factors, such as: 

(a) the level of security classification and category of information; 

(b) the quantity and form of the classified information (hard copy, and/or electronic) stored, and/or handled; 

(c) access control and enforcement of the need-to-know principle; 

(d) the threat from hostile intelligence services which target NATO and/or its member Nations, and the locally-assessed threat of terrorism, espionage, sabotage, subversion and (organized) crime; and 

(e) how the classified information will be stored (e.g. hard copy or electronic and 

encrypted). 

5. Physical security measures shall be designed to: 

(a) deny surreptitious or forced entry by an intruder; 

(b) deter, impede and detect actions from the insider threat; 

(c) allow for segregation of personnel in their access to NATO Classified Information in accordance with their level of Personnel Security Clearance (PSC) and the need-to-know principle; and 

(d) detect and act upon all security incidents as soon as possible. 

GENERAL PHYSICAL SECURITY REQUIREMENTS 

6. Physical measures represent only one aspect of protective security and shall be supported by sound personnel security, security of information, and Communication and Information Systems (CIS) security measures. Sensible management of security risks will involve establishing the most proportionate, efficient and cost-effective methods of countering the threats and compensating for 

vulnerabilities by a combination of protective measures from these domains. Such efficiency and cost-effectiveness is best achieved by defining physical security requirements as part of the planning and design of facilities, thereby reducing the need for costly renovations. 

7. Physical security programmes shall be based on the principle of “defence in depth”, using an appropriate combination of complementary physical security measures which provide a degree of protection meeting the requirements associated with the criticality and vulnerability of the organization and its information. 

8. Although physical security measures are site-specific, and determined by a number of 

factors, the following general principles shall apply: 

(a) it is first necessary to identify the assets that require protection. This is followed by the creation of layered security measures to provide “defence in depth” and delaying factors; 

(b) the outermost physical security measures shall define the protected area and deter unauthorised access; 

(c) the next layer of measures shall detect unauthorised or attempted access and alert the guard force; and 

(d) the innermost layer of measures shall sufficiently delay intruders until they can be detained by the guard force. Consequently, there is an interrelationship between the reaction time of the guard force and the physical security measures designed to delay intruders. 

9. Equipment that provides physical security (e.g. CCTV, IDS, secure cabinets) shall be 

maintained regularly or in response to a specific cause to ensure that it operates at optimum performance. It is also necessary to periodically re-evaluate the effectiveness of individual security measures as well as the complete security system. This is particularly important if there is a change in use of the site or specific elements of the security system. This can be achieved by regularly 

exercising security plans. 

Security Areas 

10. Areas, either fixed or temporary, in which information classified NATO CONFIDENTIAL (NC) and above is stored, handled and/or discussed shall be organised and structured so as to correspond to one of the following: 

(a) NATO Class I Security Area: a particularly sensitive area in which information classified NC and above is stored, handled and/or discussed in such a way that entry into the area constitutes, for all practical purposes, access to NATO Classified Information and therefore unauthorised entry would constitute a Security Breach. 

Such areas may include operations rooms, communications centres or archive facilities and require: 

(i) a clearly defined and protected perimeter through which all entry and exit is controlled; 

(ii) an entry control system which grants access only to those individuals 

appropriately cleared and specifically authorised1 to enter the area; 

(iii) a determination of the level of security classification and the category of 

the information normally held in the area, i.e. the information to which entry 

gives access; and 

(iv) a clear indication that entrance into such areas requires specific authorization by the local security authority. This indication may include the level of security classification and/or the sensitivity of the area. 

(b) NATO Class II Security Area: an area in which information classified NC and above is stored, handled and/or discussed in such a way that it can be protected from access by unauthorised individuals through utilizing controls established internally.  

Such areas may include working offices or meeting rooms where NATO Classified Information is stored, handled and/or discussed. These areas require: 

(i) a clearly defined and protected perimeter through which all entry and exit is controlled; 

(ii) an entry control system which permits unescorted access only to those individuals who are security cleared and authorised to enter the area; and 

(iii) an escort or equivalent control mechanism to deal with those individuals who do not meet the criteria described in sub-paragraph (b) (ii) above in order to prevent unauthorised access to NATO Classified Information and uncontrolled entry to areas which have been specifically designated as protected against technical attacks and eavesdropping. 

Administrative Zone 

11. An Administrative Zone shall be established around or leading to NATO Class I or Class II Security Areas. Only information classified NATO RESTRICTED (NR) may be stored, handled and/or discussed in Administrative Zones. Such areas require a visibly defined perimeter, within which the possibility exists for the control of individuals and vehicles. However, individuals are not required to be escorted. 

Technically Secure Areas 

12. Technically Secure Areas, either fixed or temporary, are areas which have been specifically identified as requiring protection against technical attacks and eavesdropping. Such areas shall be subject to regular physical and technical inspections and entry to them shall be strictly controlled. The following measures shall be applied to protect against technical attacks and eavesdropping: 

(a) Appropriate level of physical and technical security measures to enforce access control, based upon the risk. The responsibility for determining the risk is shared between the appropriate technical specialists and the security authority which provides advice to the risk owner for a decision/approval. 

(b) Such areas shall be locked and/or guarded when not occupied and any keys shall be treated as security keys. Regular physical and/or technical inspections, in accordance with the requirements of the appropriate security authority, shall be undertaken. Such inspections shall also be conducted following any unauthorised entry or suspicion thereof, as well as following the entry by external personnel (e.g. for the purposes of maintenance work, redecoration). 

(c) No item, furnishing or equipment shall be allowed into these areas until they have been thoroughly examined for eavesdropping devices by trained security staff. An appropriate record of items, furnishing and equipment moved into and out of these areas shall be maintained. 

(d) The presence of any electronic systems or devices with recording and/or transmitting capabilities shall be prohibited. 

(e) Telephones and other video conference devices shall normally not be installed in such areas. However, where their installation is unavoidable, they shall be physically disconnected when classified discussions take place. This does not apply to appropriately installed and approved communication devices. 

SPECIFIC PHYSICAL SECURITY MEASURES 

13. Various specific physical and technical security measures and procedures can contribute to the security framework of an organization or site. Such measures and procedures include but are not limited to: Perimeter, Intrusion Detection System (IDS), Access Control, Closed Circuit Television, Security Lighting, Secure Cabinets and Office Furniture, Locks, Control of Keys and 

Combinations, Visitor Control, Entry and Exit Searches. The supporting Directive on Physical Security provides detailed information on specific physical and technical security measures and procedures. 

MINIMUM STANDARDS FOR STORAGE OF NATO CLASSIFIED INFORMATION 

14. NATO Classified Information shall be stored in areas, secure cabinets and/or office 

furniture designed to deter and detect unauthorised access to the information. 

15. COSMIC TOP SECRET (CTS). Information classified CTS shall be stored within a Class I or Class II Security Area under one of the following conditions: 

(a) in an approved secure cabinet with one of the following supplemental controls: 

(i) continuous protection by cleared guard or duty personnel; 

(ii) inspection of the secure cabinet not less than every two hours, at randomly 

timed intervals, by cleared guard or duty personnel; or 

(iii) an approved IDS in combination with a response force that will, after an alarm annunciation, arrive at the location within the estimated timeframe needed to remove or break open the secure cabinet, or overcome the physical security measures in place; 

(b) in an open storage area constructed in accordance with the requirements set out in 

the supporting Directive on Physical Security, which is equipped with an IDS in 

combination with a response force that will, after an alarm annunciation, arrive at the 

location within the estimated timeframe needed for forced entry; or 

(c) in an IDS-equipped vault in combination with a response force that will, after an alarm annunciation, arrive at the location within the estimated timeframe needed for forced entry. 

16. NATO SECRET (NS). Information classified NS shall be stored within a Class I or Class II Security Area by one of the following methods: 

(a) in the same manner as prescribed for information classified CTS; 

(b) in an approved secure cabinet or vault without supplemental controls; or 

(c) in an open storage area, in which case one of the following supplemental controls is required: 

(i) the location that houses the open storage area shall be subject to continuous protection by cleared guard or duty personnel; 

(ii) cleared guard or duty personnel shall inspect the open storage area not less than once every four hours; or 

(iii) an IDS in combination with a response force that will, after an alarm annunciation, arrive at the location within the estimated timeframe needed for forced entry. 

17. NATO CONFIDENTIAL (NC). Information classified NC shall be stored in a Class I or Class II Security Area in an approved secure cabinet. 

18. NATO RESTRICTED (NR). Information classified NR shall be stored in a locked cabinet or office furniture (e.g. office desk drawer) within an Administrative Zone, Class I Security Area, or Class II Security Area. Information classified NR may also be stored in a locked cabinet, vault, or 

open storage area approved for information classified NC or higher. 

19. Additional details and requirements for the storage of NATO Classified Information are set out in the supporting Directive on Physical Security. 

PHYSICAL PROTECTION OF COMMUNICATION AND INFORMATION SYSTEMS 

20. Areas in which NATO Classified Information is presented or handled using information technology, or where potential access to such information is possible, shall be established in a way that the aggregate requirement for confidentiality, integrity and availability is met. 

21. Areas in which CIS are used to display, store, process, or transmit information classified NC and above, or where potential access to such information is possible, shall be established as NATO Class I or Class II Security Areas or the national equivalent. Areas in which CIS are used to display, store, process or transmit information classified NR, or where potential access to such information is possible, may be established as Administrative Zones. 

22. Access to areas where critical CIS components are housed and managed shall be 

specifically controlled and limited to only authorised personnel associated with security and system/network/crypto administration. 

PROTECTION AGAINST TECHNICAL ATTACKS 

23. Offices or areas in which information classified NS and above is regularly discussed shall be protected against passive and active eavesdropping attacks, by means of sound physical security measures and access control, where the risk warrants it. The responsibility for determining the risk shall be co-ordinated with technical specialists and decided by the appropriate security authority. The supporting Directive on Physical Security provides details on protection against passive and active eavesdropping. 

APPROVED EQUIPMENT 

24. NATO Nations shall only use equipment which has been approved for the protection of NATO Classified Information by an appropriate security authority. NATO Civil and Military bodies shall ensure that any equipment purchased has been approved for use by one of the NATO Nations in similar conditions. NATO Civil and Military bodies may also purchase equipment approved for use by an appropriate security authority based on a completed risk assessment that supports the reduction or mitigation of the identified risk(s). 

ENCLOSURE “E” 

C-M(2002)49-REV1 

ENCLOSURE “E” 

SECURITY OF NATO CLASSIFIED INFORMATION 

INTRODUCTION 

1. This Enclosure sets out the policy and minimum standards for the security of NATO Classified Information. Additional details and requirements are found in the supporting Directive on the Security of NATO Classified Information (AC/35-D/2002). 

2. Security of information is the application of general protective measures and procedures to prevent, detect and recover from the loss or compromise of classified information. Classified information shall be protected throughout its life cycle to a level commensurate with its security classification. It shall be managed to ensure that it is appropriately classified, is clearly identified as classified and remains classified only as long as this is necessary. Security of information shall be complemented by Personnel, Physical and Communication and Information Systems (CIS) Security in order to ensure a balanced set of measures for the protection of NATO Classified Information. 

NATO SECURITY CLASSIFICATIONS, SPECIAL DESIGNATORS, MARKINGS AND GENERAL 

PRINCIPLES 

3. The originator is responsible for determining the security classification and initial dissemination of classified information. 

4. The security classification shall not be changed, downgraded or declassified without the consent of the originator. At the time of its creation, the originator shall indicate, where possible, whether their classified information can be downgraded or declassified on a certain date or event. 

5. The security classification assigned determines the physical and CIS Security provided to the information in storage, transfer and transmission, its circulation, destruction and the Personnel Security Clearance (PSC) required for access. Therefore, both over-classification and underclassification shall be avoided in the interests of effective security as well as efficiency. 

6. Security classifications shall be applied to classified Information in order to indicate the possible damage to the security of NATO and/or its member Nations if the information is subjected to unauthorised disclosure. It is the prerogative of the originator of the classified information to determine or modify the security classification. NATO security classifications and their significance are: 

(a) COSMIC TOP SECRET (CTS) 

unauthorised disclosure would result in exceptionally grave damage to NATO; 

(b) NATO SECRET (NS) 

unauthorised disclosure would result in grave damage to NATO; 

(c) NATO CONFIDENTIAL (NC) 

unauthorised disclosure would be damaging to NATO; and 

(d) NATO RESTRICTED (NR) 

unauthorised disclosure would be detrimental to the interests or effectiveness of 

NATO. 

7. NATO security classifications indicate the sensitivity of NATO Classified Information and are applied in order to alert recipients to the need to ensure protection in proportion to the degree of damage that would occur from unauthorised access or disclosure. 

8. NATO UNCLASSIFIED information and Information releasable to the Public shall be 

protected and handled in accordance with the NATO Information Management Policy 

(C-M(2007)0118) and The Management of Non-Classified NATO Information (C-M(2002)60). 

9. The planning, preparation, execution and support relating to NATO Operations, Training, Exercises, Transformation and Cooperation (OTETC) may require specific additional security aspects to be addressed; the Supporting Document on Information and Intelligence Sharing with Non-NATO Entities (AC/35-D/1040) contains security provisions and guidance applicable in these 

circumstances. 

10. NATO Nations and NATO Civil and Military bodies shall introduce measures to ensure that classified information created by, or provided to NATO is assigned the correct security classification, and is protected in accordance with the requirements of the supporting Directive on the Security of NATO Classified Information. 

11. Each NATO Civil or Military Body shall establish a system to ensure that CTS information which it has originated is reviewed no less frequently than every five years and NS information no less frequently than every 10 years in order to ascertain whether the security classification still applies. Such a review is not necessary in those instances where the originator has predetermined 

that specific NATO Classified Information shall be automatically downgraded after a predetermined period and the classified information has been so marked. 

12. The overall security classification of a document shall be at least as high as that of its most highly classified component. Covering documents shall be marked with the overall NATO security classification of the information to which they are attached. Where possible, component parts like 

paragraphs, enclosures, annexes, etc., of documents classified NR and above should be marked appropriately by the originator to facilitate decisions on further dissemination. 

13. When a large amount of NATO Classified Information is collated together, the original security classification markings shall be retained and that information shall be assessed for the impact its collective loss or compromise would have upon the organization. If this overall impact is assessed as being higher than the impact of the actual individual NATO security classifications 

then consideration should be given to handling and protecting it at a level commensurate with the assessed impact of its loss or compromise. 

Qualifying Markings 

14. The terms COSMIC and NATO are qualifying markings which, when applied to NATO Classified Information, signify that the information shall be protected in accordance with NATO Security Policy. 

Special Category Designators 

15. The term "ATOMAL" is a marking applied to special category information signifying that the information shall be protected in accordance with the Agreement between the Parties to the North Atlantic Treaty for Co-operation Regarding Atomic Information (C-M(64)39) and the supporting Administrative Arrangements (C-M(68)41). 

16. The term "SIOP" is a marking applied to special category information signifying that the information shall be protected in accordance with "Special Procedures for the Handling of United States Single Integrated Operational Plan (US-SIOP) Information Within NATO C-M(71)27(Revised)”. 

17. The term “CRYPTO” is a marking and a special category designator identifying all COMSEC keying material used to protect or authenticate telecommunications carrying NATO cryptographic security-related information; signifying that the information shall be protected in accordance with the appropriate cryptographic security policies and directives. 

18. The term “BOHEMIA” is a marking applied to special category information derived from or pertaining to Communications Intelligence (COMINT). All information marked COSMIC TOP SECRET - BOHEMIA will be protected in strict accordance with MC 101 (NATO Signals Intelligence 

Policy) and its companion Allied Joint Publication (AJP) which covers doctrine and the NACSI Guide to SIGINT Administration and Procedures which addresses administration and procedures. 

Dissemination Limitation Markings 

19. As an additional marking to further limit the dissemination of NATO Classified Information, a Dissemination Limitation Marking may be applied by the originator. 

CONTROL AND HANDLING 

Objectives of Accountability 

20. The primary objective of accountability is to provide sufficient information to be able to investigate a deliberate or accidental loss or compromise of accountable information and assess the damage arising from the loss or compromise. The requirement for accountability serves to impose a discipline on the handling of, and control of access to, accountable information. 

21. Subordinate objectives are: 

(a) to keep track of access to accountable information – who has, or potentially has, had access to accountable information; and who has attempted to access accountable information; 

(b) to know the location of accountable information; 

(c) to keep track of the movement of accountable information within the NATO and national domains; and 

(d) register accountable information that has been released to NNEs. 

22. Information classified CTS, NS and ATOMAL shall be accountable, controlled and handled in accordance with the requirements of this Enclosure and the supporting Directive on the Security of NATO Classified Information. Where required by national laws and regulations, information 

bearing other classification or special category markings may be considered as accountable information. 

The Registry System 

23. The security procedures and requirements of the registry system apply equally across both the physical and electronic domains. Additional details and requirements concerning the electronic domain can be found within Enclosure “F” to this C-M and its supporting directives. 

24. There shall be a Registry System which is responsible for the receipt, accounting, handling, distribution and destruction of accountable information. Such a responsibility may be fulfilled either within a single Registry System, in which case strict compartmentalisation of information classified CTS and other special category information shall be maintained at all times, or by establishing separate registries and control points. 

25. Each NATO Nation or NATO Civil or Military Body, as appropriate, shall establish a Central Registry(s) for information classified CTS, which acts as the main receiving and dispatching authority for the Nation or body within which it has been established. The Central Registry(s) may also act as a registry(s) for other accountable information. 

26. Registries and control points shall act as the responsible organization for the internal 

distribution of information classified CTS and NS and for keeping records of all accountable information held on that registry’s or control point’s charge; they may be established at ministry, department, or command levels. NC and NR information is not required to be processed through the Registry System unless specified by national laws and regulations. 

27. With regard to NATO accountable information, registries and control points shall be able at all times to establish its location. Infrequent and temporary access to such information does not necessarily require the establishment of a registry or control point, provided that procedures are in place to ensure that the information remains under the control of the Registry System. 

28. The dissemination of information classified CTS shall be through COSMIC registry 

channels. At least annually, each registry shall carry out an inventory of all information classified CTS for which it is accountable, in accordance with the requirements of the supporting Directive on the Security of NATO Classified Information. Regardless of the type of registry organization, 

those that handle information classified CTS shall appoint a “COSMIC Control Officer” (CCO). 

29. The supporting Directive on the Security of NATO Classified Information sets out, inter alia, the responsibilities of the CCO, the detailed registry system handling processes for information classified CTS and NS, the procedures for reproductions, translations and extracts, the requirements for the dissemination and transfer, and the requirements for the disposal and destruction of NATO Classified Information. 

30. The Military Committee (MC) has established a separate system for the accountability, control and distribution of cryptographic material. Material being transferred through this system does not require accountability in the Registry System. 

CONTINGENCY PLANNING 

31. NATO Nations and NATO Civil and Military bodies shall prepare contingency plans for the protection or destruction, during emergency situations, of NATO Classified Information to prevent unauthorised access and disclosure and loss of availability. These plans will be based on periodically reviewed threat assessments and shall give highest priority to the most sensitive, and 

mission- or time-critical information. 

SECURITY INCIDENTS 

32. A Security Incident is an event or other occurrence that may have an adverse effect upon the security of NATO Classified Information which requires further investigative actions in order to accurately determine whether or not it constitutes a Security Breach or Infraction. 

Security Breach 

33. A Security Breach is an act or omission, deliberate or accidental, contrary to the security rules laid down in this policy that may result in the actual or possible compromise of NATO Classified Information or supporting services and resources. 

Compromise 

34. Compromise denotes a situation when, due to a Security Breach or adverse activity, NATO Classified Information has lost its confidentiality, integrity or availability, or supporting services and resources have lost their integrity or availability. This includes loss, disclosure to unauthorized individuals, unauthorised modification, destruction in an unauthorised manner, or denial of service. 

Infraction 

35. Infraction is an act or omission, deliberate or accidental, contrary to the security rules laid down in this policy, that does not result in the actual or possible compromise of NATO Classified Information. 

36. All Security Breaches or potential Security Breaches shall be reported immediately to the appropriate security authority. Each reported Security Breach shall be investigated by individuals who have security, investigative and, where appropriate, counterintelligence experience, and who are independent of those individuals immediately concerned with the Security Breach. The supporting Directive on Security of NATO Classified Information provides details on actions to be taken upon discovery of a Security Breach or Infraction. 

REPORTING 

37. The main purpose of reporting Security Breaches and compromises of NATO Classified Information is to enable the originating NATO component to assess the resulting damage to NATO and to take whatever action is desirable or practicable to minimize the damage. Reports of the damage assessment and minimising action taken shall be forwarded to the NOS by the NSA/DSA or Head of the NATO Civil or Military Body concerned. 

38. Where possible, the reporting authority should inform the originating NATO component at the same time as the NOS, but the latter may be requested to do this when the originator is difficult to identify. The timing of submitting reports to the NOS depends on the sensitivity of the information and the circumstances. 

39. The NOS, on behalf of the Secretary General of NATO, may request the appropriate authorities to make further investigations and to report their findings back to the NOS. Depending upon the circumstances and severity of the compromise, the NOS may inform the Security Committee (SC). 

40. The supporting Directive on the Security of NATO Classified Information sets out 

the detailed actions, records and reporting requirements for Security Breaches and compromises of security. 

41. Separate provisions relating to the compromise of cryptographic material have been issued by the MC to communications security authorities of NATO Nations and NATO Civil and Military bodies. 

LIITE F 

C-M(2002)49-REV1 

LIITE F 

VIESTINTÄ- JA TIETOJÄRJESTELMIEN TURVALLISUUS 

1. JOHDANTO 

1.1 Tässä liitteessä esitetään periaatteet ja vähimmäisvaatimukset, jotka koskevat Naton turvallisuusluokitellun tiedon sekä sitä tukevien järjestelmäpalvelujen ja resurssien Tietoa tukevilla järjestelmäpalveluilla ja resursseilla tarkoitetaan niitä palveluja ja resursseja, jotka tarvitaan varmistamaan, että viestintä- ja tietojärjestelmien turvallisuustavoitteet saavutetaan; näitä palveluja ja resursseja ovat esimerkiksi salaustuotteet ja -menetelmät, COMSEC-aineisto, luettelopalvelut sekä käyttöympäristön järjestelyt ja valvonta.1 Supporting System Services and Resources - those services and resources required to ensure that the security objectives of the CIS are achieved; to include, for example, cryptographic products and mechanisms, COMSEC materials, directory services, and environmental facilities and controls. suojaamista viestinnässä, tallennettaessa tätä tietoa tietojärjestelmiin ja muihin sähköisiin järjestelmiin sekä käsiteltäessä ja siirrettäessä sitä näissä järjestelmissä. 

1.2 Tämä liite tukee Naton tiedonhallinnan periaatteita ja täydentää Naton turvallisuusluokittelemattoman tiedon hallinnan periaatteita, joissa käsitellään niitä perusperiaatteita ja vaatimuksia, joita Naton sotilas- ja siviilielimissä sekä Naton jäsenvaltioissa sovelletaan Naton turvallisuusluokittelemattoman tiedon suojaamiseksi. 

1.3 Viestintä- ja tietojärjestelmien turvallisuus (CIS Security) on yksi tietojen turvaamisen (kuva 1) osatekijöistä, ja sillä tarkoitetaan turvatoimien soveltamista tarkoituksena suojata viestinnän, tietojärjestelmien ja muiden sähköisten järjestelmien Jäljempänä tässä liitteessä "CIS".2 Hereafter referred to within this Enclosure as CIS. sekä näihin järjestelmiin tallennettavan ja niissä käsiteltävän ja siirrettävän Jäljempänä tässä liitteessä "käsiteltävä".3 Hereafter referred to within this Enclosure as handled. tiedon luottamuksellisuutta, eheyttä, käytettävyyttä, aitoutta ja kiistämättömyyttä. 

1.4 Jotta saavutetaan näissä viestintä- ja tietojärjestelmissä käsiteltävän turvallisuusluokitellun tiedon luottamuksellisuuden, eheyden, käytettävyyden, aitouden ja kiistämättömyyden turvallisuustavoitteet Jäljempänä tässä liitteessä "turvallisuustavoitteet".4 Hereafter referred to within this Enclosure as Security Objectives., toteutetaan tasapainoinen toimitila-, henkilöstö- ja tietoturvallisuutta sekä viestintä- ja tietojärjestelmien turvallisuutta koskevien toimenpiteiden kokonaisuus turvallisen käyttöympäristön aikaansaamiseksi näille järjestelmille. Kun yritykset käsittelevät turvallisuusluokiteltua tietoa sopimusten perusteella, sovelletaan lisäksi erityisiä yritysturvallisuustoimia tämän C-M-asiakirjan liitteen G ja sitä tukevan yritysturvallisuusdirektiivin mukaisesti. 

[*Kuva asiakirjan lopussa] 

Kuva 1 – Suhde tietojen turvaamisen ja viestintä- ja tietojärjestelmien turvallisuuden välillä 

1.5 Viestintä- ja tietojärjestelmien turvallisuuden päädirektiivissä, jonka turvallisuuskomitea (SC) ja tiedonvälityksen, johtamisen ja valvonnan ohjausryhmä (C3B) ovat julkaisseet näiden turvallisuussääntöjen tueksi, käsitellään näitä järjestelmiä koskevia turvallisuustoimia niiden elinkaaren aikana sekä komiteoiden ja Naton sotilas- ja siviilielinten vastuuta näiden järjestelmien turvallisuudesta. Viestintä- ja tietojärjestelmien turvallisuuden päädirektiiviä tukevat direktiivit, joissa käsitellään viestintä- ja tietojärjestelmien turvallisuuden hallintaa (kuten turvallisuusriskien hallintaa, turvallisuuden akkreditointia, turvallisuuteen liittyvää dokumentointia ja turvallisuuden uudelleenarviointia/tarkastamista) sekä viestintä- ja tietojärjestelmien turvallisuuden teknisiä ja toteuttamiseen liittyviä näkökohtia (kuten tietokoneiden ja lähiverkkojen turvallisuutta, yhteen liitettyjen verkkojen turvallisuutta, salaukseen perustuvaa turvallisuutta, tiedonsiirron turvallisuutta ja hajasäteilyn turvallisuutta). 

2. TURVALLISUUSTAVOITTEET 

2.1. Viestintä- ja tietojärjestelmissä käsiteltävän Naton turvallisuusluokitellun tiedon suojaamiseksi asianmukaisesti määritetään ja toteutetaan tasapainoinen toimitila- ja henkilöstöturvallisuuden, tietoturvallisuuden sekä viestintä- ja tietojärjestelmien turvallisuuden toimenpiteiden kokonaisuus turvallisen ympäristön luomiseksi näiden järjestelmien toiminnalle ja seuraavien turvallisuustavoitteiden saavuttamiseksi:  

(a) varmistetaan Naton turvallisuusluokitellun tiedon luottamuksellisuus valvomalla tiedon ja sitä tukevien järjestelmäpalvelujen ja resurssien paljastamista ja pääsyä niihin; 

(b) varmistetaan Naton turvallisuusluokitellun tiedon ja sitä tukevien järjestelmäpalvelujen ja resurssien eheys;  

(c) varmistetaan Naton turvallisuusluokitellun tiedon ja sitä tukevien järjestelmäpalvelujen ja resurssien käytettävyys; 

(d) varmistetaan niiden henkilöiden, laitteiden ja palvelujen luotettava määrittäminen ja tunnistaminen, jotka pääsevät Naton turvallisuusluokiteltua tietoa käsitteleviin viestintä- ja tietojärjestelmiin; ja 

(e) varmistetaan tietoa käsitelleiden henkilöiden ja toimijoiden asianmukainen kiistämättömyys. 

2.2. Naton turvallisuusluokiteltu tieto sekä sitä tukevat järjestelmäpalvelut ja resurssit suojataan vähintään toimenpidekokonaisuudella, jonka tarkoituksena on varmistaa yleinen suojaus yleisesti esiintyviltä (tahattomilta tai tahallisilta) ongelmilta, joiden tiedetään vaikuttavan kaikkiin järjestelmiin ja tietoa tukeviin järjestelmäpalveluihin ja resursseihin. Olosuhteiden mukaan ryhdytään muihin toimenpiteisiin, jos turvallisuusriskien arvioinnissa on todettu, että Naton turvallisuusluokiteltuun tietoon ja/tai sitä tukeviin järjestelmäpalveluihin ja resursseihin kohdistuu tiettyjen uhkien ja haavoittuvuuksien vuoksi aiempaa suurempia riskejä. 

2.3. Käsiteltävän Naton tiedon turvallisuusluokasta riippumatta Naton turvallisuusviranomaiset arvioivat riskit ja sen vahingon tason, joka Natolle aiheutuu, jos toimenpiteet muiden turvallisuustavoitteiden kuin luottamuksellisuuden saavuttamiseksi laiminlyödään. Muun kuin luottamuksellisuuden varmistavia palveluja koskevien toimenpiteiden vähimmäiskokonaisuus määritetään näitä turvallisuussääntöjä tukevien direktiivien mukaisesti. 

3. TURVALLISUUDEN AKKREDITOINTI 

3.1. Se, missä määrin turvallisuustavoitteet on saavutettava ja missä määrin viestintä- ja tietojärjestelmiin kohdistuvia turvallisuustoimenpiteitä tarvitaan Naton turvallisuus-luokitellun tiedon ja sitä tukevien järjestelmäpalvelujen ja resurssien suojaamiseksi, määritellään kyseistä turvallisuusvaatimusta laadittaessa. Turvallisuuden akkreditoinnilla todetaan, että riittävä suojauksen taso on saavutettu ja sitä ylläpidetään.  

3.2. Kaikkien Naton turvallisuusluokiteltua tietoa käsittelevien kansallisten viestintä- ja tietojärjestelmien osalta suoritetaan turvallisuuden akkreditointi, jossa käsitellään turvallisuustavoitteita. 

4. HENKILÖSTÖTURVALLISUUS  

4.1. Henkilöt, joille sallitaan pääsy Naton turvallisuusluokiteltuun tietoon sen jossakin muodossa, on turvallisuusselvitettävä, ottaen tarvittaessa huomioon heidän kokonaisvastuunsa tietoa ja sitä tukevia järjestelmäpalveluja ja resursseja koskevien turvallisuustavoitteiden saavuttamisesta. Näitä henkilöitä ovat myös ne, joille sallitaan pääsy tietoa tukeviin järjestelmäpalveluihin ja resursseihin tai jotka vastaavat niiden suojauksesta, vaikkei heille sallittaisikaan pääsyä järjestelmässä käsiteltävään tietoon. 

5. TOIMITILATURVALLISUUS 

5.1. Alueet, joilla Naton turvallisuusluokiteltua tietoa esitetään tai käsitellään tietotekniikkaa käyttäen tai joilla on mahdollista päästä sellaiseen tietoon, on perustettava siten, että turvallisuustavoitteiden saavuttamisen kokonaisvaatimus täyttyy. 

6. TIETOTURVALLISUUS 

6.1. Kaikki turvallisuusluokitellut tietokoneiden tallennusvälineet on merkittävä, säilytettävä ja suojattava asianmukaisesti, tallennettavan tiedon korkeimman turvallisuusluokan mukaan. 

6.2. Uudelleen käytettävälle tietokoneen tallennusvälineelle tallennetun Naton turvallisuusluokitellun tiedon saa poistaa tallennusvälineeltä ainoastaan toimivaltaisen turvallisuusviranomaisen hyväksymiä menettelyjä noudattaen. 

6.3. Tietokoneen tallennusvälineelle tallennetun Naton turvallisuusluokitellun tiedon suojaamiseen voidaan soveltaa näitä turvallisuussääntöjä tukevien direktiivien mukaisesti toteutettavia hyväksyttyjä (luottamuksellisuutta ja muuta kuin luottamuksellisuutta koskevia) turvatoimia siten, että toimitilaturvallisuuden vaatimuksia lievennetään alempaa turvallisuusluokkaa vastaaviksi. 

7. YRITYSTURVALLISUUS 

7.1 Sopimusten toteuttamiseen käytettävä hankeosapuolen toimitila, jossa käsitellään Naton turvallisuusluokiteltua tietoa viestintä- ja tietojärjestelmissä, on perustettava siten, että se täyttää turvallisuustavoitteiden saavuttamisen kokonaisvaatimuksen. 

7.2. Tapauksen mukaan sopimuksissa,turvallisuusnäkökohtia koskevissa kirjeissä (SAL) ja/tai ohjelman/hankkeen turvallisuusohjeissa (PSI) ja/tai palvelutasosopimuksissa (SLA) on selostettava johdonmukainen viestintä- ja tietojärjestelmiin kohdistuvien turvatoimien kokonaisuus, joka hankeosapuolten on toteutettava saavuttaakseen Naton viestintä- ja tietojärjestelmien turvallisuustavoitteet ja suojatakseen Naton turvallisuusluokitellun tiedon ja sitä tukevat palvelut. 

8. TURVATOIMET 

8.1. Kaikkiin Naton turvallisuusluokiteltua tietoa käsitteleviin viestintä- ja tietojärjestelmiinon sovellettavajohdonmukaista turvallisuustoimenpiteiden kokonaisuutta, jotta saavutetaan tiedon ja sitä tukevien järjestelmäpalvelujen ja resurssien suojaamisen turvallisuustavoitteet. Näitä turvallisuustoimenpiteitä ovat tapauksen mukaan seuraavat:  

(a) keinot, joiden avulla saadaan riittävät tiedot, jotta pystytään tutkimaan mahdollisesti aiheutuvan vahingon edellyttämällä tavalla tahallinen tai tahaton turvallisuusluokiteltua tietoa ja sitä tukevia järjestelmäpalveluja ja resursseja koskevien turvallisuustavoitteiden vaarantuminen tai vaarantamisen yritys; 

(b) keinot, joiden avulla määritetään ja tunnistetaan luotettavasti henkilöt, laitteet ja palvelut, joille sallitaan pääsy tietoon, järjestelmäpalveluihin ja resursseihin. Tietoa ja aineistoa, jonka avulla säädellään pääsyä viestintä- tai tietojärjestelmään, on valvottava ja se on suojattava sitä tietoa vastaavien järjestelyjen mukaisesti, johon tieto tai aineisto voi mahdollistaa pääsyn. Naton viestintä- ja tietojärjestelmissä on sovellettava henkilöiden vahvan tunnistamisen menetelmää;  

(c) keinot, joiden avulla valvotaan tiedonsaantitarpeen periaatteen perusteella Naton turvallisuusluokitellun tiedon ja sitä tukevien järjestelmäpalvelujen ja resurssien paljastamista ja pääsyä niihin; 

(d) keinot, joiden avulla todennetaan Naton turvallisuusluokitellun tiedon ja sitä tukevien järjestelmäpalvelujen ja resurssien eheys ja alkuperä; 

(e) keinot, joiden avulla ylläpidetään Naton turvallisuusluokitellun tiedon ja sitä tukevien järjestelmäpalvelujen ja resurssien eheyttä; 

(f) keinot, joiden avulla ylläpidetään Naton turvallisuusluokitellun tiedon ja sitä tukevien järjestelmäpalvelujen ja resurssien käytettävyyttä; 

(g) keinot, joiden avulla valvotaan Naton turvallisuusluokiteltua tietoa käsittelevien viestintä- ja tietojärjestelmien yhteyttä; 

(h) viestintä- ja tietojärjestelmien suojausmenetelmien luotettavuuden toteaminen; 

(i) keinot, joiden avulla arvioidaan ja todennetaan viestintä- ja tietojärjestelmien turvallisuuden suojausmenetelmien asianmukainen toimivuus näiden järjestelmien elinkaaren ajan;  

(j) keinot, joiden avulla tutkitaan käyttäjien ja viestintä- ja tietojärjestelmien toimintaa; 

(k) keinot, joiden avulla annetaan takeet kiistämättömyydestä siten, että tiedon lähettäjälle todistetaan, että tieto on lähetetty, ja tiedon vastaanottajalle todistetaan lähettäjän identiteetti; ja 

(l) keinot, joiden avulla suojataan säilytettävä Naton turvallisuusluokiteltu tieto, jos fyysiset turvallisuustoimenpiteet eivät täytä vähimmäisvaatimuksia. 

8.2. Käytössä on oltava turvallisuuden hallintajärjestelmät ja -menettelyt, joiden avulla estetään, torjutaan, havaitaan ja kestetään Naton turvallisuusluokiteltua tietoa ja sitä tukevia järjestelmäpalveluja ja resursseja koskeviin turvallisuustavoitteisiin vaikuttavien tapahtumien vaikutukset ja korjataan ne, mukaan lukien tietoturvapoikkeamista ilmoittaminen.  

8.3. Turvallisuustoimenpiteitä hallitaan ja ne toteutetaan näitä turvallisuusääntöjä tukevien direktiivien mukaisesti. 

9. TURVALLISUUSRISKIEN HALLINTA 

9.1. Naton sotilas- ja siviilielimissä käytettäviin Naton turvallisuusluokiteltua tietoa käsitteleviin viestintä- ja tietojärjestelmiin sovelletaan turvallisuusriskien hallintaa, mukaan lukien turvallisuusriskien arviointi, näitä turvallisuussääntöjä tukevien direktiivien vaatimusten mukaisesti. 

9.2. Naton viestintä- ja tietojärjestelmien turvallisuusriskien hallinnalla varmistetaan järjestelmän haavoittuvuuksien ja turvallisuusvaatimustenmukaisuuden jatkuva arviointi, ja siinä on pyrittävä dynaamiseen riskienhallintaan, jotta voidaan reagoida tehokkaasti nykyisten monimutkaisten toimintaskenaarioiden ja monitahoisten uhkaympäristöjen asettamiin haasteisiin. 

10. NATON TURVALLISUUSLUOKITELLUN TIEDON SÄHKÖMAGNEETTINEN SIIRTÄMINEN "Sähkömagneettinen siirtäminen" tarkoittaa siirtämistä, joka on luonteeltaan tai ominaisuuksiltaan sekä sähköistä että magneettista, ja se sisältää muun muassa näkyvän valon, radioaallot, mikroaallot ja infrapunasäteilyn.5 The term "electromagnetic transmission" covers transmission having both an electrical and magnetic character or properties, and includes, inter alia, visible light, radio waves, microwave, and infrared radiation 

10.1. Kun Naton turvallisuusluokiteltua tietoa siirretään sähkömagneettisesti, on toteutettava erityiset toimenpiteet turvallisuustavoitteiden saavuttamiseksi näissä siirroissa. Naton viranomaiset määräävät vaatimukset, joita sovelletaan siirrettävän tiedon suojaamiseksi ilmitulolta, sieppaamiselta tai hyväksikäytöltä. 

11. SALAUKSEEN PERUSTUVA TURVALLISUUS 

11.1. Kun luottamuksellisuuden ja muun kuin luottamuksellisuuden suojaamiseksi tarvitaan salaustuotteita tai -menetelmiä tiedon siirtämisen, käsittelyn tai säilyttämisen (data at rest) aikana, nämä tuotteet tai menetelmät on erikseen hyväksytettävä tätä tarkoitusta varten ja fyysisten, menettelyllisten ja teknisten toimenpiteiden on täytettävä erityiset salausta koskevat vaatimukset, jotta vaadittavat turvallisuustavoitteet saavutetaan.  

11.2. Säilytettävä tieto on suojattava vaadittavien turvallisuustavoitteiden edellyttämää tasoa vastaavasti, ja käytettäessä salaustuotteita tai -menetelmiä on salausta koskevien turvallisuusvaatimusten oltava sovellettavien Naton teknisten ja täytäntöönpanoa koskevien direktiivien mukaiset.  

11.3. Turvallisuusluokkaan NATO SECRET ja sitä ylempiin luokkiin luokitellun tiedon luottamuksellisuus on tietoa siirrettäessä suojattava Naton sotilaskomitean (NAVMILCOM) hyväksymillä salaustuotteilla tai -menetelmillä. 

11.4. Turvallisuusluokkaan NATO CONFIDENTIAL tai NATO RESTRICTED luokitellun tiedon luottamuksellisuus on tietoa siirrettäessä suojattava joko Naton sotilaskomitean tai Naton jäsenvaltion hyväksymillä salaustuotteilla tai -menetelmillä. 

11.5. Tietoa siirrettäessä on muuta kuin luottamuksellisuutta koskevien vaatimusten täyttäminen varmistettava viestintäjärjestelmää koskevan käyttövaatimuksen mukaisesti. Salaustekniikkaan perustuvien muuta kuin luottamuksellisuutta koskevien menetelmien arviointia koskevat vaatimukset ja näiden menetelmien hyväksyntäviranomainen on yksilöitävä ja hyväksyttävä teknisissä direktiiveissä hyväksytyllä tavalla käyttövaatimukseen sisältyvien näitä menetelmiä koskevien vaatimusten yhteydessä. 

11.6. Poikkeuksellisissa toimintaolosuhteissa turvallisuusluokkiin NATO CONFIDENTIAL ja NATO SECRET luokiteltu tieto voidaan siirtää selväkielisenä, jos kukin tällainen siirto raportoidaan asianmukaisesti ylemmille viranomaisille. Poikkeuksellisia olosuhteita ovat seuraavat: 

(a) kriisin uhka tai toteutuminen, selkkaus tai sotatila; ja 

(b) tilanteet, joissa lähetyksen nopeus on ensiarvoisen tärkeää, salauskeinoja ei ole käytettävissä ja arvioidaan, ettei siirrettävää tietoa ehditä käyttää ajoissa toiminnan haittaamiseen. 

11.7. Poikkeuksellisissa toimintaolosuhteissa, joissa nopeus on ensiarvoisen tärkeää, salauskeinoja ei ole käytettävissä ja arvioidaan, ettei siirrettävää tietoa ehditä käyttää ajoissa toiminnan haittaamiseen, turvallisuusluokkaan NATO RESTRICTED luokiteltu tieto voidaan siirtää selväkielisenä. 

11.8. Kun turvallisuusluokkaan NATO SECRET ja sitä ylempiin luokkiin luokiteltua tietoa siirretään Naton ja Naton ulkopuolisen valtion tai kansainvälisen järjestön (NNN/IO) viestintä- ja tietojärjestelmien välillä, tiedon luottamuksellisuus on siirron aikana suojattava Naton sotilaskomitean hyväksymillä salaustuotteilla tai menetelmillä. 

11.9. Kun turvallisuusluokkaan NATO SECRET ja sitä ylempiin luokkiin luokiteltua tietoa siirretään Naton ulkopuolisen valtion tai kansainvälisen järjestön viestintä- ja tietojärjestelmissä, tiedon luottamuksellisuus on siirron aikana suojattava Naton sotilaskomitean (NAVMILCOM) hyväksymillä salaustuotteilla tai -menetelmillä. 

11.10. Jos 11.8 ja 11.9 kohdan vaatimuksia ei voida täyttää, Nato ja kansainvälinen järjestö voivat sopia, että ne hyväksyvät vastavuoroisesti toistensa arviointi- valinta- ja hyväksymismenettelyt, joita sovelletaan niihin salaustuotteisiin tai -menetelmiin, joiden käyttö sallitaan turvallisuusluokkaan NATO SECRET tai kansainvälisen järjestön vastaavaan turvallisuusluokkaan luokitellun tiedon suojaamiseksi sitä siirrettäessä. Tämän hyväksynnän ehdot on esitetty jäljempänä kohdassa 11.12. 

11.11. Poikkeuksellisissa olosuhteissa, jos 11.8 ja 11.9 kohdan vaatimuksia ei voida täyttää, Nato voi tiettyjen käyttövaatimusten täyttämistä tukeakseen hyväksyä Naton ulkopuolisen valtion arviointi- valinta- ja hyväksymismenettelyt, joita sovelletaan niihin salaustuotteisiin tai -menetelmiin, joiden käyttö sallitaan turvallisuusluokkaan NATO SECRET tai Naton ulkopuolisen valtion vastaavaan turvallisuusluokkaan luokitellun tiedon suojaamiseksi sitä siirrettäessä. Tämän hyväksynnän ehdot on esitetty jäljempänä kohdassa 11.12. 

11.12. Edellä 11.10 ja 11.11 kohdassa esitettyihin tilanteisiin sovelletaan seuraavia ehtoja:  

(a) Naton ulkopuolisella valtiolla tai kansainvälisellä järjestöllä on oltava voimassa Naton kanssa tehty turvallisuussopimus ja Naton turvallisuustoimiston todistus siitä, että ne pystyvät asianmukaisesti suojaamaan luovutettavaa Naton turvallisuusluokiteltua tietoa; 

(b) kutakin Naton ulkopuolista valtiota tai kansainvälistä järjestöä kohdellaan tapauskohtaisesti, ja kunkin hyväksynnän perusta määrätään Naton ja Naton ulkopuolisen valtion tai kansainvälisen järjestön välistä turvallisuussopimusta tukevissa turvallisuusjärjestelyissä;  

(c) hyväksynnän ehdot on hyväksytettävä Naton sotilaskomitealla Naton turvallisuustoimiston tekemän puolueettoman arvion pohjalta; tämä arvio koskee Naton ulkopuolisen valtion tai kansainvälisen järjestön valmiutta tehdä salausta koskevia arvioita, jotka täyttävät vastaavat vaatimukset kuin Naton vaatimukset turvallisuusluokkaan NATO SECRET luokitellun tiedon suojaamiselle salauksen avulla; arvion tekee Naton turvallisuustoimisto yhdessä sotilaskomitean viestintä- ja tietojärjestelmien turvallisuus- ja arviointiviraston (SECAN), tiedonvälityksen, johtamisen ja valvonnan ohjausryhmän tietojen turvaamista ja kyberpuolustusvalmiutta käsittelevän paneelin sekä Naton päämajan tiedonvälityksen, johtamisen ja valvonnan esikunnan kanssa; ja  

(d) Naton turvallisuustoimiston, SECANin ja Naton päämajan tiedonvälityksen, johtamisen ja valvonnan esikunnan on yhdessä vakuututtava todentamisen ja määräajoin tapahtuvan uudelleen todentamisen avulla siitä, että Naton ulkopuolisella valtiolla tai kansainvälisellä järjestöllä on käytössään asianmukaiset rakenteet, säännöt ja menettelyt salaustuotteiden ja -menetelmien arviointia, valintaa, hyväksyntää ja valvontaa varten ja että näitä rakenteita, sääntöjä ja menettelyjä sovelletaan käytännössä tehokkaasti ja turvallisesti.  

11.13. Kun hyväksyntä tapahtuu 11.12 kohdan ehtojen mukaisesti, turvallisuusluokkaan NATO SECRET luokitellun tiedon luottamuksellisuus voidaan suojata joko Naton sotilaskomitean hyväksymillä salaustuotteilla tai -menetelmillä tai sellaisilla salaustuotteilla tai -menetelmillä, jotka Naton ulkopuolisen valtion tai kansainvälisen järjestön kansallinen viestintä- ja tietojärjestelmien turvallisuusviranomainen (tai vastaava viranomainen) on hyväksynyt vastaavan turvallisuusluokan tiedon suojaamiseen. 

11.14. Kun turvallisuusluokkaan NATO CONFIDENTIAL tai NATO RESTRICTED luokiteltua tietoa siirretään Naton ja Naton ulkopuolisen valtion tai kansainvälisen järjestön viestintä- ja tietojärjestelmien välillä ja Naton ulkopuolisen valtion tai kansainvälisen järjestön viestintä- ja tietojärjestelmissä, tiedon luottamuksellisuus on siirron aikana suojattava toimivaltaisen viranomaisen hyväksymillä salaustuotteilla tai menetelmillä. Toimivaltainen viranomainen voi olla Naton sotilaskomitea, Naton jäsenvaltion kansallinen viestintä- ja tietojärjestelmien turvallisuusviranomainen tai Naton ulkopuolisen valtion tai kansainvälisen järjestön vastaava viranomainen, jos tällä valtiolla tai järjestöllä on käytössään asianmukaiset rakenteet, säännöt ja menettelyt kyseisten tuotteiden ja menetelmien arviointia, valintaa, hyväksyntää ja valvontaa varten ja jos näitä rakenteita, sääntöjä ja menettelyjä sovelletaan käytännössä tehokkaasti ja turvallisesti. Näistä rakenteista, säännöistä ja menettelyistä sovitaan Naton sotilaskomitean ja kyseisen Naton ulkopuolisen valtion tai kansainvälisen järjestön välillä.  

11.15. Naton turvallisuusluokitellun tiedon suojaamiseen käytettävän salausaineiston arkaluonteisuus edellyttää erityisten turvatoimien soveltamista niiden toimien lisäksi, jotka vaaditaan Naton muun turvallisuusluokitellun tiedon suojaamiseksi.  

11.16. Salausaineiston suojauksen on vastattava sitä vahinkoa, joka voi aiheutua, jos suojaus laiminlyödään. Käytössä on oltava positiiviset keinot, joilla arvioidaan ja todennetaan salaustuotteiden ja -menetelmien suojaaminen ja asianmukainen toiminta sekä salaustiedon (esim. toteuttamisen yksityiskohtien ja niihin liittyvän dokumentoinnin) suojaaminen ja hallinta. 

11.17. Salaustiedon erityisen arkaluonteisuuden vuoksi Natossa ja kaikissa jäsenvaltioissa on oltava käytössä erityismääräykset ja -elimet, jotka säätelevät Naton salaustiedon vastaanottamista ja hallintaa sekä sen jakelua erikseen hyväksytyille henkilöille. 

11.18. On myös noudatettava erityisiä menettelyjä, joilla säädellään teknisen tiedon jakamista sekä salaustuotteiden ja -menetelmien valintaa, tuottamista ja hankintaa. 

12. HAJASÄTEILYTURVALLISUUS 

12.1. On toteutettava turvatoimet, joilla suojataan turvallisuusluokkaan NATO CONFIDENTIAL ja sitä ylempiin turvallisuusluokkiin luokiteltu tieto vaarantumiselta, joka johtuu tahattomasta sähkömagneettisesta hajasäteilystä. Toimenpiteiden on oltava hyväksikäytön riskin ja tiedon arkaluonteisuuden mukaiset. 

13. VIESTINTÄ- JA TIETOJÄRJESTELMIÄ KOSKEVAT ERITYISET VASTUUT 

13.1. Naton sotilaskomitea (NAVMILCOM) 

13.1.1. Naton sotilaskomitean vastuulla viestintä- ja tietojärjestelmien turvallisuuden osalta on salauslaitteiden turvallisuuden hyväksyminen ja niiden luovuttaminen sekä osallistuminen salaustuotteiden ja -menetelmien arviointiin ja valintaan Naton tavanomaista käyttöä varten. Sotilaskomitean neljä virastoa (SECAN, DACAN, EUSEC ja EUDAC), joissa on kansallinen henkilöstö, neuvovat ja tukevat viestintä- ja tietojärjestelmien turvallisuusasioissa sotilaskomiteaa, turvallisuuskomiteaa, tiedonvälityksen, johtamisen ja valvonnan ohjausryhmää sekä tarvittaessa näiden alaisia yksiköitä, jäsenvaltioita ja muita Naton organisaatioita.  

13.2. C3-ohjausryhmä (C3B) 

13.2.1. Liittokunnan ylimpänä alansa komiteana tiedonvälityksen, johtamisen ja valvonnan (C3) ohjausryhmä (C3B) tukee Naton sotilaskomiteaa ja Naton poliittisia viranomaisia niiden C3-toiminnan valmiuksien ja hankkeiden arviointiprosessissa arvioimalla C3-toimintaa koskevia operatiivisia vaatimuksia. Ohjausryhmä vastaa turvallisten ja yhteentoimivien Naton laajuisten C3-järjestelmien saattamisesta käyttöön. Naton päämajan C3-esikunta (NHQC3S) antaa henkilöstöä C3-ohjausryhmän tueksi. 

13.3. Naton kyberpuolustuksen ohjausryhmä (CDMB) 

13.3.1. Kyberpuolustuksen ohjausryhmä on kyberpuolustusta koordinoiva elin, joka vastaa kyberpuolustuksen periaatteiden toteuttamisen strategisesta suunnittelusta ja ohjauksesta sekä Naton jäsenvaltioiden kanssa tehtävän yhteistyön edistämisestä. Kyberpuolustuksen ohjausryhmä raportoi Pohjois-Atlantin neuvostolle ja saa siltä poliittista ohjausta puolustuspolitiikan ja -suunnittelun komitean vahvistetun kokoonpanon (DPPC(R)) välityksellä. Jäsenvaltiot valvovat kyberpuolustuksen ohjausryhmää kyberpuolustuksen periaatteita ja C3-periaatteiden toteuttamista koskevissa asioissa C3-ohjausryhmän välityksellä. Kyberpuolustuksen ohjausryhmä neuvottelee yksittäisistä asioista toimivaltaisten Naton komiteoiden välityksellä. 

13.4. Kansallinen viestintä- ja tietojärjestelmien turvallisuusviranomainen (NCSA) 

13.4.1. Kukin Naton jäsenvaltio ja tapauksen mukaan Naton ulkopuolinen valtio määrää kansallisen viestintä- ja tietojärjestelmien turvallisuusviranomaisen, joka voidaan perustaa virastoksi kansalliseen turvallisuusinfrastruktuuriin. Kansallisen viestintä- ja tietojärjestelmien turvallisuusviranomaisen vastuulla on 

(a) valvoa teknistä salaustietoa, joka liittyy Naton tiedon suojaamiseen kyseisessä valtiossa; 

(b) varmistaa, että Naton tiedon suojaamiseen käytettävät salausjärjestelmät, tuotteet ja menetelmät valitaan asianmukaisesti ja niitä käytetään ja ylläpidetään asianmukaisesti; 

(c) varmistaa, että Naton tiedon suojaamiseen käytettävät viestintä- ja tietojärjestelmien turvallisuustuotteet valitaan asianmukaisesti ja niitä käytetään ja ylläpidetään asianmukaisesti kyseisessä valtiossa; 

(d) olla yhteydessä toimivaltaisiin Naton elimiin ja kansallisiin elimiin viestintä- ja tietojärjestelmien turvallisuuteen liittyvissä Naton viestintäturvallisuutta ja tekniikkaa koskevissa asioissa sekä sotilas- että siviilialalla; ja  

(e) kansallisen TEMPEST-viranomaisen yksilöiminen tarvittaessa. 

13.4.2. Kansallisten viestintä- ja tietojärjestelmien turvallisuusviranomaisten toiminta koordinoidaan kansallisten turvallisuusviranomaisten toiminnan kanssa. 

13.5. Kansallinen jakeluviranomainen (NDA) 

13.5.1. Kukin Naton jäsenvaltio ja tapauksen mukaan Naton ulkopuolinen valtio yksilöi kansallisen jakeluviranomaisen, joka voidaan perustaa virastoksi kansalliseen turvallisuusinfrastruktuuriin ja joka vastaa Naton salausaineiston hallinnasta kyseisessä valtiossa ja varmistaa, että kaiken salausaineiston kattavaa kirjaamista, turvallista käsittelyä, säilyttämistä, jakelua ja hävittämistä varten toteutetaan asianmukaiset menettelyt ja perustetaan tarvittavat kanavat. 

13.5.2. Kansallisten jakeluviranomaisten toiminta koordinoidaan kansallisten turvallisuusviranomaisten toiminnan kanssa. 

13.6. Turvallisuuden akkreditointiviranomainen/viranomaiset 

13.6.1. Kukin Naton jäsenvaltio ja tapauksen mukaan Naton ulkopuolinen valtio määrää yhden tai useamman turvallisuuden akkreditointiviranomaisen, joka vastaa seuraavien turvallisuuden akkreditoinnista: 

(a) Naton turvallisuusluokiteltua tietoa käsittelevät kansalliset viestintä- ja tietojärjestelmät; ja  

(b) kansallisissa elimissä/organisaatioissa käytettävät Naton viestintä- ja tietojärjestelmät, tapauksen mukaan Naton ulkopuolisissa valtioissa. 

13.6.2. Jos Naton jäsenvaltioon perustetaan Naton sotilas- tai siviilielin, Naton viestintä- ja tietojärjestelmien turvallisuuden akkreditoi Naton turvallisuuden akkreditointiviranomainen (SAA). Tällöin turvallisuuden akkreditointi voidaan koordinoida toimivaltaisen kansallisen turvallisuuden akkreditointiviranomaisen kanssa. 

13.7. Naton turvallisuuden akkreditointiviranomainen (SAA) 

13.7.1. Naton turvallisuusluokiteltua tietoa käsittelevien Naton viestintä- ja tietojärjestelmien turvallisuuden akkreditoinnista vastaa kolme Naton turvallisuuden akkreditointiviranomaista. Turvallisuuden akkreditointiviranomaiset ovat Naton turvallisuustoimiston johtaja ja strategiset komentajat tai heidän valtuutetut/nimetyt edustajansa, akkreditoitavan viestintä- tai tietojärjestelmän mukaan. 

13.7.2. Naton viestintä- ja tietojärjestelmien turvallisuusjärjestelyjen hyväksyntälautakunta, joka koostuu edellisessä kohdassa tarkoitetuista Naton turvallisuuden akkreditointiviranomaisista, valvoo turvallisuuden akkreditointia kaikkien Naton turvallisuusluokiteltua tietoa käsittelevien Naton viestintä- ja tietojärjestelmien osalta varmistaakseen yhteisen ja johdonmukaisen lähestymistavan näiden järjestelmien turvallisuuteen. Hyväksyntälautakunnan työjärjestys hyväksytetään turvallisuuskomitealla. 

13.8. Naton ulkopuolisen valtion turvallisuusviranomainen 

13.8.1. Naton ulkopuolinen valtio nimeää turvallisuusviranomaisen vastaamaan tämän liitteen turvallisuusmääräysten noudattamisesta sekä valvonnasta, joka kohdistuu sellaisiin Naton ulkopuolisen valtion viranomaisiin, joilla on erityisiä turvallisuusvastuita Naton turvallisuusluokiteltua tietoa käsittelevistä kansallisista viestintä- ja tietojärjestelmistä (mukaan lukien kansallinen viestintä- ja tietojärjestelmien turvallisuusviranomainen, kansallinen jakeluviranomainen ja turvallisuuden akkreditointiviranomaiset). 

ENCLOSURE “F” 

C-M(2002)49-REV1 

ENCLOSURE “F” 

COMMUNICATION AND INFORMATION SYSTEM SECURITY 

1. INTRODUCTION 

1.1. This Enclosure sets out the policy and minimum standards for the protection of NATO classified information, and supporting system services and resources1 in communication, information and other electronic systems storing, processing or transmitting NATO classified information. 

1.2. This Enclosure supports the NATO Information Management Policy and complements the Policy on Management of Non-Classified NATO Information which addresses the basic principles and standards to be applied within NATO civil and military bodies and NATO member nations for the protection of non-classified NATO information. 

1.3. Communication and Information System Security (CIS Security) is one of the elements of Information Assurance (Figure 1) and is defined as the application of security measures for the protection of communication, information and other electronic systems2, and the information that is stored, processed or transmitted3 in these systems with respect to confidentiality, integrity, 

availability, authentication and non-repudiation. 

1.4. In order to achieve the security objectives of confidentiality, integrity, availability, authentication and non-repudiation4 for classified information handled in these CIS, a balanced set of security measures (physical, personnel, information and CIS) shall be implemented to create a secure environment in which to operate a CIS. Where classified information is handled by industry in contracts, additional specific industrial security measures shall be applied in accordance with Enclosure G of this C-M and the supporting industrial security directive. 

[*Figure at the end of the document] 

Figure 1 - Relationship between Information Assurance and CIS Security 

1.5. The “Primary Directive on CIS Security”, which is published by the SC and the C3B in support of this policy, addresses the CIS Security activities in the CIS life-cycle, and the CIS Security responsibilities of committees, and NATO civil and military bodies. The “Primary Directive on CIS Security” is supported by directives addressing CIS Security management (including security risk management, security accreditation, security-related documentation, and security review / inspection) and CIS Security technical and implementation aspects (including computer and local area network (LAN) security, interconnection of networks security, cryptographic security, transmission security, and emission security). 

2. SECURITY OBJECTIVES 

2.1. To achieve adequate security protection of NATO classified information handled in CIS, a balanced set of security measures (physical, personnel, information and CIS) shall be identified and implemented to create a secure environment in which a CIS operates, and to meet the following security objectives: 

(a) to ensure the confidentiality of information by controlling the disclosure of, and access to, NATO classified information, and supporting system services and resources; 

(b) to ensure the integrity of NATO classified information, and supporting system services and resources; 

(c) to ensure the availability of NATO classified information, and supporting system services and resources; 

(d) to ensure the reliable identification and authentication of persons, devices and services accessing CIS handling NATO classified information; and 

(e) to ensure appropriate non-repudiation for individuals and entities having processed the information. 

2.2. NATO classified information and supporting system services and resources, shall be protected by a minimum set of measures aimed at ensuring general protection against commonly encountered problems (whether accidental or intentional) known to affect all systems and supporting system services and resources. Additional measures shall be taken, appropriate to the circumstances, where a security risk assessment has established that NATO classified information and/or supporting system sevices and resources are subject to increased risks from 

specific threats and vulnerabilities. 

2.3. Independent of the security classification of the NATO information being handled, NATO security authorities shall assess the risks and the level of damage done to NATO if the measures to achieve the non-confidentiality security objectives fail. The minimum set of measures for nonconfidentiality services shall be determined in accordance with directives supporting this policy. 

3. SECURITY ACCREDITATION 

3.1. The extent to which the security objectives are to be met, and the extent to which CIS Security measures are to be relied upon for the protection of NATO classified information and supporting system services and resources shall be determined during the process of establishing the security requirement. The security accreditation process shall determine that an adequate level of protection has been achieved, and is being maintained. 

3.2 All CIS handling NATO classified information shall be subject to a security accreditation process, addressing the Security Objectives. 

4. PERSONNEL SECURITY 

4.1. Individuals authorised access to NATO classified information in any form shall be security cleared, where appropriate, taking account of their aggregate responsibility for achieving the Security Objectives of the information and the supporting system services and resources. This includes individuals who are authorised access to supporting system services and resources, or who are responsible for their protection, even if they are not authorised access to the information handled by the system. 

5. PHYSICAL SECURITY 

5.1. Areas in which NATO classified information is presented or handled using information technology, or where potential access to such information is possible, shall be established such that the aggregate requirement for the Security Objectives is met. 

6. SECURITY OF INFORMATION 

6.1. All classified computer storage media shall be properly identified, stored and protected in a manner commensurate with the highest classification of the stored information. 

6.2. NATO classified information recorded on re-usable computer storage media, shall only be erased in accordance with procedures approved by the appropriate security authority. 

6.3. Approved security measures (confidentiality and non-confidentiality), implemented in accordance with directives supporting this policy, may be used to protect NATO classified information in computer storage media in such a manner as to reduce the physical security requirements 

commensurate with a lower classification level. 

7. INDUSTRIAL SECURITY 

7.1. A contractor facility used for contracts in which NATO classified information is handled on CIS shall be established to meet the aggregate requirement for the Security Objectives. 

7.2. A consistent set of CIS security measures shall be described in contracts, Security Aspect Letters (SAL) and/or Project Security Instructions (PSI) and/or Service Level Agreements (SLA), as applicable, and be implemented by contractors to meet the NATO CIS security objectives and to protect NATO classified information and supporting services. 

8. SECURITY MEASURES 

8.1. For all CIS handling NATO classified information, a consistent set of security measures shall be applied to meet the Security Objectives to protect information and supporting system services and resources. The security measures shall include, where appropriate, the following: 

(a) a means to provide sufficient information to be able to investigate a deliberate, accidental or attempted compromise of the security objectives of classified information and supporting system services and resources, commensurate with the damage that would be caused; 

(b) a means to reliably identify and authenticate persons, devices and services 

authorised access. Information and material which controls access to a CIS shall be controlled and protected under arrangements commensurate with the information to which it may give access. On NATO CIS strong authentication mechanisms for persons shall be implemented; 

(c) a means to control disclosure of, and access to, NATO classified information and supporting system services and resources, based upon the need-to-know principle; 

(d) a means to verify the integrity and origin of NATO classified information, and supporting system services and resources; 

(e) a means to maintain the integrity of NATO classified information and supporting system services and resources; 

(f) a means to maintain the availability of NATO classified information and supporting system services and resources; 

(g) a means to control the connection of CIS handling NATO classified information; 

(h) a determination of the confidence to be placed in the protection mechanisms of CIS Security; 

(i) a means to assess and verify the proper functioning of the protection mechanisms of CIS Security over the life-cycle of the CIS; 

(j) a means to investigate user and CIS activity; 

(k) a means to provide non-repudiation assurances that the sender of information is provided with proof of delivery and the recipient is provided proof of the sender's 

identity; and 

(l) a means to protect stored NATO classified information where the physical security measures do not meet the minimum standards. 

8.2. Security management mechanisms and procedures shall be in place to deter, prevent, detect, withstand, and recover from, the impacts of incidents affecting the Security Objectives of NATO classified information and supporting system services and resources, including the reporting of 

security incidents. 

8.3. The security measures shall be managed and implemented in accordance with directives supporting this policy. 

9. SECURITY RISK MANAGEMENT 

9.1. CIS handling NATO classified information, in NATO civil and military bodies, shall be subject to security risk management, including security risk assessment, in accordance with the requirements 

of directives supporting this policy. 

9.2. Security risk management of NATO CIS shall ensure continuous assessment of system vulnerabilities and security compliance and shall move towards dynamic risk management to be able to face effectively the challenges posed by today’s complex operational scenarios and multifaceted threat environments. 

10. ELECTROMAGNETIC TRANSMISSION5of NATO CLASSIFIED INFORMATION 

10.1. When NATO classified information is transmitted electromagnetically, special measures shall be implemented to achieve the Security Objectives of such transmissions. NATO authorities shall determine the requirements for protecting transmissions from detection, interception or exploitation. 

11. CRYPTOGRAPHIC SECURITY 

11.1. When cryptographic products or mechanisms are required to provide confidentiality and non-confidentiality protection, whether during information transmission, processing or storage (data at rest), such products or mechanisms shall be specifically approved for the purpose and specific cryptographic requirements for physical, procedural and technical measures shall be 

implemented to achieve the required Security Objectives. 

11.2. Data at rest shall be protected to a level adequate to the required Security Objectives, and, where cryptographic products and mechanisms are used, the requirements for cryptographic security shall be in accordance with the relevant NATO Technical and Implementation Directives. 

11.3. During transmission, the confidentiality of information classified NS and above shall be protected by cryptographic products or mechanisms approved by the NATO Military Committee (NAMILCOM). 

11.4. During transmission, the confidentiality of information classified NC or NR shall be protected by cryptographic products or mechanisms approved by either the NAMILCOM or a NATO member nation. 

11.5. During transmission, the non-confidentiality requirements shall be assured in accordance with the communications system’s operational requirement. The evaluation requirements and approval authority, for non-confidentiality mechanisms based on cryptography, shall be identified 

and agreed in conjunction with the specification of such mechanisms in the operational requirement, as agreed in technical directives. 

11.6. Under exceptional operational circumstances, information classified NC and NS may be transmitted in clear text provided each occasion is properly reported to the higher authorities. The exceptional circumstances are as follows: 

(a) during impending or actual crisis, conflict, or war situations; and 

(b) when speed of delivery is of paramount importance, means of encryption are not available and it is assessed that the transmitted information cannot be exploited in time to adversely influence operations. 

11.7. Under exceptional operational circumstances, when speed is of paramount importance, means of encryption are not available and it is assessed that the transmitted information cannot be exploited in time to adversely influence operations, information classified NR may be transmitted in clear text. 

11.8. During transmission between NATO and non-NATO nations / International Organisations (NNN/IO) CIS, the confidentiality of information classified NS and above shall be protected by cryptographic products or mechanisms approved by the NATO Military Committee (NAMILCOM). 

11.9. During transmission within NNN/IO CIS, the confidentiality of information classified NS and above shall be protected by cryptographic products or mechanisms approved by the NATO Military Committee (NAMILCOM). 

11.10. Where the requirements of paragraphs 11.8 and 11.9 above cannot be met, NATO and an IO may reach agreement on the mutual acceptance of each others' evaluation, selection and approval processes for cryptographic products or mechanisms authorised for the protection in transmission 

of NS information or IO information of the equivalent classification level. The conditions for such acceptance are set out in paragraph 11.12 below. 

11.11. In exceptional circumstances, in order to support specific operational requirements, and where the requirements of paragraphs 11.8 and 11.9 above cannot be met, NATO may agree the NNN's evaluation, selection and approval processes for cryptographic products or mechanisms authorised for the protection in transmission of NS information or NNN information of the equivalent classification level. The conditions for such agreement are set out in paragraph 11.12 below. 

11.12. The following conditions are applicable in respect to the scenarios described at 

paragraphs 11.10 and 11.11 above: 

(a) the NNN/IO shall have a Security Agreement with NATO and be certified by the NATO Office of Security (NOS) that they can appropriately protect released NATO classified information; 

(b) each NNN/IO shall be treated on a case-by-case basis; and the basis of any acceptance / agreement shall be set out in the security arrangements supporting the Security Agreement between NATO and the NNN/IO; 

(c) the terms of any such acceptance / agreement shall be approved by the NAMILCOM on the basis of an objective assessment carried out by the NOS, working in conjunction with the NAMILCOM Communications and Information Systems Security and Evaluation Agency (SECAN), the C3B Information Assurance and Cyber Defence Capability Panel and the NATO HQ C3 Staff, of the capability of the NNN/IO to perform 

cryptographic evaluations that meet requirements equivalent to those used within NATO for the cryptographic protection of NS information; and 

(d) the NOS, in conjunction with SECAN and the NATO HQ C3 Staff, shall satisfy 

themselves, through verification and periodic re-verification, that the NNN/IO has in place appropriate structures, rules and procedures for the evaluation, selection, approval and control of cryptographic products and mechanisms, and that those structures, rules and procedures are being effectively and securely applied in practice. 

11.13. Where acceptance / agreement is reached in accordance with the conditions set out in paragraph 11.12 above, the confidentiality of information classified NS may be protected by either cryptographic products or mechanisms approved by the NATO Military Committee (NAMILCOM) or cryptographic products or mechanisms approved by the NCSA (or equivalent authority) of the NNN/IO for the protection of the equivalent classification level. 

11.14. During transmission between NATO and NNN/IO CIS and within NNN/IO CIS, 

the confidentiality of information classified NC or NR shall be protected by cryptographic products or mechanisms evaluated and approved by an appropriate authority. The appropriate authority may be the NAMILCOM, the NCSA of a NATO member nation or the equivalent authority of the 

NNN/IO, provided that the NNN/IO has appropriate structures, rules and procedures in place for the evaluation, selection, approval and control of such products or mechanisms, and that those structures, rules and procedures are being effectively and securely applied in practice. The structures, rules and procedures shall be agreed between the NAMILCOM and the NNN/IO. 

11.15. The sensitive nature of the cryptomaterial used to protect NATO classified information necessitates the application of special security precautions beyond those required for the protection of other NATO classified information. 

11.16. The protection which shall be afforded to cryptomaterial shall be commensurate with the damage that may be caused should that protection fail. There shall be positive means to assess and verify the protection and proper functioning of the cryptographic products and mechanisms, and the protection and control of cryptographic information (e.g. implementation details and 

associated documentation). 

11.17. In recognition of the particular sensitivity of cryptographic information, special regulations and bodies shall exist within NATO and within each member nation to govern the receipt, control and dissemination of NATO cryptographic information to specially certified persons. 

11.18. Special procedures shall also be followed which regulate the sharing of technical information, and which regulate the selection, production and procurement of cryptographic products and mechanisms. 

12. EMISSION SECURITY 

12.1. Security measures shall be implemented to protect against the compromise of information classified NC and above through unintentional electromagnetic emissions. The measures shall be commensurate with the risk of exploitation and the sensitivity of the information. 

13. SPECIFIC CIS SECURITY RESPONSIBILITIES 

13.1 NATO Military Committee (NAMILCOM) 

13.1.1. The NAMILCOM's responsibilities on CIS Security include the security approval and release of cryptographic equipment and participating in the evaluation and selection of cryptographic products and mechanisms for standard NATO use. The four nationally manned agencies of the Military Committee (SECAN, DACAN, EUSEC and EUDAC) provide advice and support on CIS Security to the NAMILCOM, to the SC, to the C3B and, as appropriate, to their sub-structures, to member nations and to other NATO organisations. 

13.2. C3 Board (C3B) 

13.2.1. As the senior Consultation, Command and Control (C3) policy committee within the Alliance, the C3B supports the NAMILCOM and the NATO political authorities in their validation process for C3 capabilities and projects by reviewing operational C3 requirements. The C3B is responsible for the provision of secure and interoperable NATO-wide C3 systems. Staff support to the C3B is provided by the NATO HQ C3 Staff (NHQC3S). 

13.3. NATO Cyber Defence Management Board (CDMB) 

13.3.1 The CDMB is the cyber defence coordination body providing strategic planning and direction for the implementation of the Cyber Defence Policy and facilitating cooperation with Allies. The CDMB reports to and receive political guidance from the NAC through the Defence Policy and 

Planning Committee in reinforced format (DPPC(R)). The CDMB is supervised by Allies through the C3B on C3 policy and implementation aspects of cyber defence. CDMB consults on specific subject matters through the appropriate NATO committees. 

13.4. National CIS Security Authority (NCSA) 

13.4.1. Each NATO and non-NATO nation, where applicable to the latter, shall identify an NCSA, which may be established as an agency in the national security infrastructure. The NCSA is responsible for: 

(a) controlling cryptographic technical information related to the protection of NATO information within their nation; 

(b) ensuring that cryptographic systems, products and mechanisms for protecting NATO information are appropriately selected, operated and maintained; 

(c) ensuring that CIS security products for protecting NATO information are appropriately selected, operated and maintained within their nation; 

(d) communicating on NATO communications security and technical matters on CIS Security, both civil and military, with appropriate NATO and national bodies; and 

(e) identifying a National TEMPEST Authority, as appropriate. 

13.4.2. NCSAs work in co-ordination with their NSA(s). 

13.5. National Distribution Authority (NDA) 

13.5.1 Each NATO and non-NATO nation, where applicable to the latter, shall identify an NDA, which may be established as an agency in the national security infrastructure, which is responsible for the management of NATO cryptomaterial within their nation and shall ensure that appropriate 

procedures are enforced and channels established for the comprehensive accounting, secure handling, storage, distribution and destruction of all cryptomaterial. 

13.5.2. NDAs work in co-ordination with their NSA(s). 

13.6. Security Accreditation Authority(s) 

13.6.1. Each NATO and non-NATO nation, where applicable to the latter, shall identify a security accreditation authority(s) which is responsible for the security accreditation of the following: 

(a) national CIS handling NATO classified information; and 

(b) NATO CIS operating within national bodies / organisations, as appropriate for 

non-NATO Nations. 

13.6.2. Where a NATO civil or military body is established within a NATO nation, the NATO CIS shall be subject to security accreditation by a NATO SAA. In this case, the security accreditation may be co-ordinated with the appropriate national security accreditation authority. 

13.7. NATO Security Accreditation Authority (SAA) 

13.7.1. There are three NATO SAAs which are responsible for the security accreditation of NATO CIS handling NATO classified information. The SAA shall be the Director, NATO Office of Security and the Strategic Commanders, or their delegated / nominated representative(s), dependent upon the CIS to be accredited. 

13.7.2. The NATO CIS Security Accreditation Board, composed of the NATO SAAs as identified in the paragraph above, shall have security accreditation oversight for all NATO CIS handling NATO classified information to ensure a corporate and consistent approach to security of NATO CIS. The NSAB Terms of Reference shall be subject to approval by the Security Committee. 

13.8. Security Authority for NNN 

13.8.1. The NNN shall appoint a security authority to be responsible for the security provisions of the present Enclosure and the oversight of the NNN Authorities with specific CIS Security responsibilities for national CIS handling NATO classified information (including NCSA, NDA and 

SAAs). 

LIITE G 

C-M(2002)49-REV1 

LIITE G 

TURVALLISUUSLUOKITELTUJEN HANKKEIDEN TURVALLISUUS JA YRITYSTURVALLISUUS 

JOHDANTO 

1. Tässä liitteessä esitetään Naton turvallisuusluokitellun tiedon turvallisuutta yrityksissä koskevat periaatteet ja vähimmäisvaatimukset. Lisätietoja ja -vaatimuksia on Naton turvallisuussääntöjä tukevassa direktiivissä turvallisuusluokiteltujen hankkeiden turvallisuudesta ja yritysturvallisuudesta. 

2. Yritysturvallisuus on suojaustoimien ja -menettelyjen soveltamista sellaisen turvallisuusluokitellun tiedon katoamisen tai vaarantumisen estämiseksi, havaitsemiseksi ja korjaamiseksi, jota yritykset käsittelevät hankesopimusten perusteella. Yrityksille annettava ja yritysten kanssa tehtävien hankesopimusten perusteella tuotettava Naton turvallisuusluokiteltu tieto sekä yritysten kanssa tehtävät turvallisuusluokitellut hankesopimukset on suojattava Naton turvallisuussääntöjen ja niitä tukevien direktiivien mukaisesti.  

3. Kansallisten turvallisuusviranomaisten / määrättyjen turvallisuusviranomaisten on varmistettava, että niillä on keinot määrätä yritysturvallisuutta koskevat vaatimuksensa yrityksiä sitoviksi sekä oikeus tarkastaa ja hyväksyä yritysten toimet turvallisuusluokitellun tiedon suojaamiseksi. 

YRITYSTURVALLISUUTTA KOSKEVAT VAATIMUKSET 

4. Kaikilla hankeosapuolilla / alihankkijoilla, jotka tekevät sellaisia hankesopimuksia, joihin liittyy Naton turvallisuusluokiteltua tietoa ja jotka edellyttävät pääsyä turvallisuusluokkaan NATO CONFIDENTIAL tai sitä ylempään luokkaan luokiteltuun tietoon tai tällaisen tiedon tuottamista, on oltava asianmukaisen tason yritysturvallisuusselvityksestä annettu todistus (FSC), jonka on antanut sen valtion toimivaltainen kansallinen turvallisuusviranomainen / määrätty turvallisuusviranomainen, jonka toimivaltaan hankeosapuolen / alihankkijan yksikkö kuuluu. 

5. Turvallisuusluokkaan NATO RESTRICTED luokiteltuun tietoon pääsemiseksi tai tällaisen tiedon tuottamiseksi ei vaadita todistusta yritysturvallisuusselvityksestä. 

TARJOUSKILPAILUT, NEUVOTTELUT JA PÄÄTÖKSET SOPIMUKSISTA, JOIHIN LIITTYY NATON TURVALLISUUSLUOKITELTUA TIETOA 

6. Naton ohjelman/hankkeen pääsopimuksen neuvottelee ja tekee Naton ohjelman/hankkeen johtokunta/toimisto. Todistus yritysturvallisuusselvityksestä vaaditaan kaikilta sellaisilta hankeosapuolilta, joilta hankesopimukset edellyttävät, että yksikkö hallitsee tai tuottaa turvallisuusluokkaan NATO CONFIDENTIAL ja sitä ylempiin turvallisuusluokkiin kuuluvaa tietoa tai pääsee tähän tietoon. Turvallisuusluokkaan NATO RESTRICTED luokiteltujen hankesopimusten osalta ei vaadita todistusta yritysturvallisuusselvityksestä. 

7. Naton ohjelman/hankkeen johtokunta/toimisto tai muu sopimusviranomainen, joka panee sopimuksenteon vireille, varmistaa, että hankeosapuolen yksiköillä on asianmukaiset todistukset yritysturvallisuusselvityksestä kyseistä sopimuksenteon vaihetta varten. Sopimusviranomainen tarkistaa, että hankeosapuolen henkilöstöllä, joka pääsee turvallisuusluokkaan NATO CONFIDENTIAL tai sitä ylempään luokkaan luokiteltuun tietoon sopimusviranomaisen toimitiloissa, on asianmukainen todistus henkilöturvallisuusselvityksestä.  

8. Kun pääsopimus on tehty, ensisijainen hankeosapuoli voi neuvotella alihankintasopimuksia muiden hankeosapuolten eli alihankkijoiden kanssa. Nämä alihankkijat voivat myös neuvotella alihankintasopimuksia muiden alihankkijoiden kanssa. Jos nämä alihankintasopimukset edellyttävät pääsyä turvallisuusluokkaan NATO CONFIDENTIAL ja sitä ylempiin luokkiin luokiteltuun tietoon, sovelletaan niitä yritys- ja henkilöstöturvallisuutta koskevia vaatimuksia, jotka on asetettu tämän liitteen osassa "Naton hankesopimuksiin liittyvät yritysturvallisuusselvitykset" sekä direktiivissä turvallisuusluokiteltujen hankkeiden turvallisuudesta ja yritysturvallisuudesta. Jos mahdollinen alihankkija kuuluu Naton ulkopuolisen valtion toimivaltaan Oikeus käyttää valtaa tietyssä asiassa tai tietyllä maantieteellisellä alueella.1 Power to exercise authority over a subject matter or a territory/geographic area., Naton ohjelman/hankkeen johtokunnalta/toimistolta tai muulta sopimusviranomaiselta on saatava etukäteen lupa neuvotella alihankintasopimus. Jos Naton ohjelman/hankkeen johtokunta/toimisto on rajoittanut sopimusten tekemistä sellaisten Naton jäsenvaltioiden toimivaltaan kuuluvien hankeosapuolten kanssa, jotka eivät osallistu ohjelmaan/hankkeeseen, johtokuntaa/toimistoa pyydetään harkitsemaan luvan antamista ja antamaan luvan ennen sopimusneuvotteluja kyseisten valtioiden hankeosapuolten kanssa. 

9. Tehtyään hankesopimuksen Naton ohjelman/hankkeen johtokunta/toimisto tai muu sopimusviranomainen ilmoittaa asiasta hankeosapuolen valtion kansalliselle turvallisuusviranomaiselle / määrätylle turvallisuusviranomaiselle ja varmistaa, että ensisijaiselle hankeosapuolelle annetaan hankesopimuksen mukana tapauksen mukaan turvallisuusnäkökohtia koskeva kirje (SAL) ja/tai ohjelman/hankkeen turvallisuusohjeet (PSI). 

TURVALLISUUSVAATIMUKSET HANKESOPIMUKSILLE, JOIHIN LIITTYY NATON TURVALLISUUSLUOKITELTUA TIETOA 

10. Ensisijaisen hankeosapuolen ja alihankkijoiden on sopimuksella edellytettävä toteuttavan niiden sopimuksen irtisanomisen uhalla kaikki kansallisten turvallisuusviranomaisten / määrättyjen turvallisuusviranomaisten määräämät toimet hankeosapuolen tuottaman tai sille annetun tai hankeosapuolen valmistamiin esineisiin sisältyvän Naton turvallisuusluokitellun tiedon suojaamiseksi.  

(a) Merkittäviä ohjelmia/hankkeita koskeviin hankesopimuksiin, joihin liittyy Naton turvallisuusluokiteltua tietoa, on liitettävä ohjelman/hankkeen turvallisuusohjeet; turvallisuusohjeiden osana on oltava ohjelman/hankkeen turvallisuusluokitusopas. Kaikkiin muihin hankesopimuksiin, joihin liittyy Naton turvallisuusluokiteltua tietoa, on sisällytettävä vähintään turvallisuusnäkökohtia koskeva kirje, jona voivat toimia soveltamisalaltaan rajoitetut ohjelman/hankkeen turvallisuusohjeet. Viimeksi mainitussa tapauksessa ohjelman/hankkeen turvallisuusluokitusoppaaseen voidaan viitata "turvallisuusluokituksen tarkistuslistana". Ohjelman/hankkeen turvallisuusohjeet täydentävät Naton turvallisuussääntöjä ja -vaatimuksia, ja näissä ohjeissa määrätään kyseiseen Naton ohjelmaan/hankkeeseen liittyvät erityiset turvallisuusmenettelyt sekä vastuut turvallisuusluokiteltua tietoa koskevien turvatoimien toteuttamisesta. 

(b) Hankesopimuksista, joihin liittyy ainoastaan turvallisuusluokkaan NATO RESTRICTED luokiteltua tietoa, on erityiset määräykset direktiivissä turvallisuusluokiteltujen hankkeiden turvallisuudesta ja yritysturvallisuudesta, etenkin sen liitteessä 4 sellaisten tarjousten ja hankesopimusten turvallisuuslausekkeesta, joihin liittyy turvallisuusluokkaan NATO RESTRICTED luokiteltua tietoa.  

11. Ohjelman/hankkeen mahdollisiin alihankintasopimuksiin liittyvän tiedon turvallisuusluokituksen on perustuttava ohjelman/hankkeen turvallisuusluokitusoppaaseen. 

NATON ULKOPUOLISTEN VALTIOIDEN HANKEOSAPUOLTEN KANSSA TEHTÄVÄT HANKESOPIMUKSET, JOIHIN LIITTYY NATON TURVALLISUUSLUOKITELTUA TIETOA 

12. Kun Naton ulkopuolisten valtioiden hankeosapuolten kanssa tehdään hankesopimuksia, joihin liittyy Naton turvallisuusluokiteltua tietoa, tämä on tiedon luovuttamista, ja siinä on noudatettava tämän C-M-asiakirjan liitettä E, direktiiviä Naton turvallisuusluokitellun tiedon turvallisuudesta sekä direktiiviä turvallisuusluokiteltujen hankkeiden turvallisuudesta ja yritysturvallisuudesta. Tiedon luovuttamiseen on aina oltava sen alkuperäisen yhden tai useamman luovuttajan suostumus. 

13. Naton ulkopuolisten valtioiden hankeosapuolten kanssa tehtävät hankesopimukset, joihin liittyy Naton turvallisuusluokiteltua tietoa, edellyttävät kahdenvälisen turvallisuussopimuksen / järjestelyn olemassaoloa Naton tai sopimuksen tekevän / takaajana toimivan Naton jäsenvaltion ja kyseisen Naton ulkopuolisen valtion välillä. Jos hankesopimukseen sovelletaan kahdenvälistä turvallisuussopimusta / järjestelyä sopimuksen tekevän / takaajana toimivan Naton jäsenvaltion ja Naton ulkopuolisen valtion välillä, Naton jäsenvaltion on annettava Natolle kirjallinen turvallisuusvakuutus, jossa vahvistetaan, että luovutettavaan Naton turvallisuusluokiteltuun tietoon sovelletaan kyseistä turvallisuussopimusta / järjestelyä. Jäljennös vakuutuksesta on annettava Naton turvallisuustoimistolle ja kyseiselle Naton ohjelman/hankkeen toimistolle/johtokunnalle. 

14. Tehtäessä hankesopimusta Naton ulkopuolisen valtion hankeosapuolen kanssa on noudatettava menettelyjä, jotka kuvataan direktiivissä turvallisuusluokiteltujen hankkeiden turvallisuudesta ja yritysturvallisuudesta.  

15. Naton ulkopuolisiin valtioihin on nimettävä yksi tai useampi toimivaltainen turvallisuusviranomainen, joka hoitaa Naton jäsenvaltion kansallisen turvallisuusviranomaisen / määrätyn turvallisuusviranomaisen tehtäviä vastaavia tehtäviä. 

NATON HANKESOPIMUKSIIN LIITTYVÄT YRITYSTURVALLISUUSSELVITYKSET 

Yleistä 

16. Hankesopimuksiin ja alihankintasopimuksiin sovelletaan yksiköitä ja henkilöitä koskevia periaatteita, jotka esitetään seuraavissa kohdissa. 

Yritysturvallisuusselvitystodistukset (FSC) 

17. Kunkin Naton jäsenvaltion kansallisen turvallisuusviranomaisen / määrätyn turvallisuusviranomaisen vastuulla on varmistaa, että sen toimivaltaan kuuluvat yksiköt, jotka tarvitsevat pääsyn turvallisuusluokkaan NATO CONFIDENTIAL ja sitä ylempiin luokkiin luokiteltuun tietoon, ovat toteuttaneet tarvittavat suojaustoimet saadakseen todistuksen yritysturvallisuusselvityksestä. Antaessaan todistuksen yritysturvallisuusselvityksestä kansallisen turvallisuusviranomaisen / määrätyn turvallisuusviranomaisen on varmistettava, että sillä on keinot saada tieto seikoista, jotka voivat vaikuttaa todistuksen antamiseen. 

18. Arvioinnissa, joka tehdään ennen yritysturvallisuusselvitystä koskevan todistuksen antamista, on noudatettava sovellettavia kansallisia säädöksiä ja määräyksiä sekä niitä vaatimuksia ja perusteita, jotka on kuvattu direktiivissä turvallisuusluokiteltujen hankkeiden turvallisuudesta ja yritysturvallisuudesta. Arvioinnin tulee kohdistua ainakin hankeosapuolen/alihankkijan rehellisyyteen ja nuhteettomuuteen, sen henkilöstön ja muiden sellaisten henkilöiden turvallisuusprofiiliin, jotka saattavat yhteyksiensä vuok-si tarvita pääsyä Naton turvallisuusluokiteltuun tietoon, sekä ulkomaiseen omistukseen, määräysvaltaan ja vaikutusvaltaan.  

19. Tarjoajaa, jolla ei ole mahdollisen hankesopimuksen/alihankintasopimuksen edellyttämää asianmukaista todistusta yritysturvallisuusselvityksestä, ei saa automaattisesti sulkea pois kilpailusta. Sopimusviranomaisen olisi pyrittävä kaikin keinoin rajoittamaan tarjoajille annettava tieto mahdollisimman alhaisen turvallisuusluokan tietoon, joka kuitenkin edelleen mahdollistaa tietoon perustuvan ja kilpailukelpoisen vastauksen tarjouspyyntöön. Tarjouspyyntöasiakirjassa on kuitenkin ilmoitettava, että ennen hankesopimuksen/alihankintasopimuksen tekemistä vaaditaan asianmukainen todistus yritysturvallisuusselvityksestä. 

20. Yritysturvallisuusselvityksiä koskevien vaatimusten soveltamistilanteita esitetään Naton turvallisuussääntöjä tukevassa direktiivissä turvallisuusluokiteltujen hankkeiden turvallisuudesta ja yritysturvallisuudesta. 

21. Todistusta yritys- tai henkilöturvallisuusselvityksestä ei vaadita sellaisia hankesopimuksia varten, joihin liittyy turvallisuusluokkaan NATO RESTRICTED luokiteltua tietoa, eikä tällaiseen tietoon pääsyä varten. Valtio, jonka kansalliset turvallisuussäädökset ja -määräykset edellyttävät todistusta yritysturvallisuusselvityksestä turvallisuusluokkaan NATO RESTRICTED luokitellun hankesopimuksen tai alihankintasopimuksen tekemiseksi, ei saa syrjiä tällaista todistusta vaatimattoman valtion hankeosapuolta, vaan sen on varmistettava, että hankeosapuolelle on tiedotettu sen velvollisuuksista tiedon suojaamisen suhteen ja että hankeosapuoli vahvistaa valtiolle hyväksyvänsä nämä velvollisuudet. 

Yksiköiden työntekijöiden henkilöturvallisuusselvitykset 

22. Yksikön työntekijöillä, jotka tarvitsevat pääsyn turvallisuusluokkaan NATO CONFIDENTIAL ja sitä ylempiin turvallisuusluokkiin luokiteltuun Naton turvallisuusluokiteltuun tietoon, on oltava asianmukainen todistus henkilöturvallisuusselvityksestä. Todistukset henkilöturvallisuusselvityksestä on annettava noudattaen tämän C-M-asiakirjan liitettä C, direktiiviä henkilöstöturvallisuudesta sekä direktiiviä turvallisuusluokiteltujen hankkeiden turvallisuudesta ja yritysturvallisuudesta. 

23. Hankeosapuolen työntekijöiden turvallisuusselvityksiä haetaan siltä kansalliselta turvallisuusviranomaiselta / määrätyltä turvallisuusviranomaiselta, jonka vastuulle kyseinen yksikkö kuuluu. 

24. Jos yksikkö tahtoo palkata Naton ulkopuolisen valtion kansalaisen tehtävään, joka edellyttää pääsyä Naton turvallisuusluokiteltuun tietoon, palkkaajayksikön suhteen toimivaltaisen valtion kansallisen turvallisuusviranomaisen / määrätyn turvallisuusviranomaisen on tehtävä tässä määrätty turvallisuusselvitys ja päätettävä, voidaanko henkilölle sallia pääsy tietoon noudattaen tämän C-M-asiakirjan liitteen C vaatimuksia, direktiiviä henkilöstöturvallisuudesta sekä direktiiviä turvallisuusluokiteltujen hankkeiden turvallisuudesta ja yritysturvallisuudesta. 

NATON TURVALLISUUSLUOKITELLUN TIEDON LUOVUTTAMINEN HANKESOPIMUKSIA TEHTÄESSÄ 

25. Hankesopimuksia tehtäessä Naton turvallisuusluokiteltua tietoa voidaan luovuttaa joko Naton ulkopuolisille valtioille ja kansainvälisille järjestöille tai Naton valtioiden toimijoille, jotka eivät osallistu ohjelmiin/hankkeisiin. Luovuttamiseen on saatava tapauksen mukaan kyseisen ohjelman/hankkeen johtokunnan/toimiston ja/tai tiedon alkuperäisen luovuttajan suostumus, ja siinä on noudatettava muita sovellettavia Naton turvallisuussääntöjen liitteitä, direktiiviä Naton turvallisuusluokitellun tiedon turvallisuudesta sekä direktiiviä turvallisuusluokiteltujen hankkeiden turvallisuudesta ja yritysturvallisuudesta. 

TURVALLISUUSLUOKITELLUN TIEDON KÄSITTELY VIESTINTÄ- JA TIETOJÄRJESTELMISSÄ 

26. Naton turvallisuusluokitellun tiedon säilyttämiseen, käsittelyyn ja siirtämiseen (jäljempänä "käsittely") saa käyttää ainoastaan asianmukaisesti akkreditoituja viestintä- ja tietojärjestelmiä. Tämän C-M-asiakirjan liitteessä F, päädirektiivissä viestintä- ja tietojärjestelmien turvallisuudesta (AC/35-D/2004), viestintä- ja tietojärjestelmien turvallisuuden hallintaa koskevassa direktiivissä (AC/35-D/2005) sekä kaikissa sovellettavissa viestintä- ja tietojärjestelmien turvallisuuden teknisissä ja toimeenpanodirektiiveissä (AC/322-asiakirjat) esitetään lisää periaatteita ja ohjeita Naton turvallisuusluokiteltua tietoa käsittelevien viestintä- ja tietojärjestelmien vaatimustenmukaisesta toteuttamisesta. 

27. Turvallisuusluokkaan NATO RESTRICTED luokiteltua tietoa käsittelevien viestintä- ja tietojärjestelmien akkreditointi voidaan kansallisten turvallisuussäädösten ja -määräysten perusteella siirtää hankeosapuolten tehtäväksi. Jos tehtävä siirretään hankeosapuolille, toimivaltaisten kansallisten turvallisuusviranomaisten / määrättyjen turvallisuusviranomaisten / akkreditointiviranomaisten on vastattava hankeosapuolen käsittelemän turvallisuusluokkaan NATO RESTRICTED luokitellun tiedon suojaamisesta, ja niillä on oikeus tarkastaa hankeosapuolten toteuttamat turvatoimet. 

KANSAINVÄLISIIN VIERAILUIHIN LIITTYVÄT VALVONTAMENETTELYT 

28. Naton jäsenvaltioiden, Naton sotilas- ja siviilielinten, hankeosapuolten ja alihankkijoiden edustajien kansainvälisiin vierailuihin, joihin liittyy Naton turvallisuusluokiteltua tietoa, sovelletaan kansainvälisiin vierailuihin liittyviä valvontamenettelyjä. Niitä sovelletaan myös Naton ulkopuolisen valtion edustajiin, sen hankeosapuolet/alihankkijat mukaan lukien, jos tämä valtio on ottanut kansainvälisiin vierailuihin liittyvät valvontamenettelyt käyttöön.  

29. Vierailut, joihin liittyy pääsy turvallisuusluokkaan NATO CONFIDENTIAL ja sitä ylempiin luokkiin luokiteltuun tietoon tai pääsy turvallisuusalueille ilman saattajaa, on hyväksytettävä kansallisella turvallisuusviranomaisella / määrätyllä turvallisuusviranomaisella. Vierailut, joihin liittyy pääsy ryhmään NATO UNCLASSIFIED NATO UNCLASSIFIED ei ole Naton turvallisuusluokka.2 NU is not a NATO security classification. kuuluvaan tai turvallisuusluokkaan NATO RESTRICTED luokiteltuun tietoon, voidaan järjestää suoraan lähettävän ja vastaanottavan yksikön välillä ilman muodollisia vaatimuksia.  

30. Yksityiskohtaisia järjestelyitä kansainvälisten vierailujen toteuttamiseksi on kuvattu direktiivissä turvallisuusluokiteltujen hankkeiden turvallisuudesta ja yritysturvallisuudesta. 

NATON HANKKEESEEN/OHJELMAAN LAINATTAVA HENKILÖSTÖ 

31. Jos henkilö, josta on tehty turvallisuusselvitys Naton turvallisuusluokiteltuun tietoon pääsyä varten, on määrä lainata yksiköstä toiseen samassa Naton ohjemassa/hankkeessa, mutta toisessa Naton jäsenvaltiossa, henkilön oman yksikön on pyydettävä valtionsa kansallista turvallisuusviranomaista / määrättyä turvallisuusviranomaista antamaan vahvistus tämän henkilön henkilöturvallisuusselvityksestä sen yksikön valtion kansalliselle turvallisuusviranomaiselle / määrätylle turvallisuusviranomaiselle, johon hänet on määrä lainata. 

NATON TURVALLISUUSLUOKITELLUN AINEISTON SIIRTÄMINEN JA KULJETTAMINEN KANSAINVÄLISESTI 

Kaikkiin kuljetusmuotoihin sovellettavat turvallisuusperiaatteet 

32. Tarkasteltaessa turvallisuusjärjestelyjä, joita aiotaan noudattaa turvallisuusluokiteltua aineistoa sisältävien lähetysten kansainvälisissä kuljetuksissa, on noudatettava seuraavia periaatteita: 

(a) turvallisuus on varmistettava kaikissa kuljetuksen vaiheissa ja olosuhteissa alkuperäisestä lähtöpaikasta lopulliseen kohteeseen; 

(b) lähetyksen suojauksen taso on määritettävä sen sisältämän aineiston ylimmän turvallisuusluokan mukaan; 

(c) kuljetuksen hoitaville yrityksille on tarvittaessa hankittava todistus yritysturvallisuusselvityksestä. Näissä tapauksissa lähetystä käsittelevälle henkilöstölle on annettava todistus henkilöturvallisuusselvityksestä tämän liitteen määräysten mukaisesti; 

(d) kuljetusten on mahdollisuuksien mukaan tapahduttava suoraan pisteestä pisteeseen, ja ne on tehtävä niin pian kuin olosuhteet sallivat; ja 

(e) kuljetusreitit on huolellisesti järjestettävä kulkemaan ainoastaan Naton jäsenvaltioiden kautta. Naton ulkopuolisten valtioiden kautta kulkevia reittejä olisi käytettävä vain, jos lähettäjän suhteen toimivaltainen kansallinen turvallisuusviranomainen / määrätty turvallisuusviranomainen sallii tämän, ja tällöin on noudatettava Naton turvallisuussääntöjä tukevaa direktiiviä Naton turvallisuusluokitellun tiedon turvallisuudesta.  

33. Järjestelyistä turvallisuusluokitellun aineiston lähettämiseksi määrätään erikseen kunkin ohjelman/hankkeen yhteydessä. Näitä järjestelyjä on kuitenkin noudatettava, jotta minimoidaan todennäköisyys luvattomaan pääsyyn tähän aineistoon. 

34. Naton turvallisuusluokitellun tiedon kansainvälistä välittämistä koskevat turvallisuusvaatimukset esitetään Naton turvallisuussääntöjä tukevassa direktiivissä Naton turvallisuusluokitellun tiedon turvallisuudesta. Yksityiskohtaiset vaatimukset Naton turvallisuusluokitellun aineiston kuljettamiselle mukana ja kaupallisten kuriiriyritysten, turvallisuusvartijoiden ja saattajien välityksellä sekä räjähteiden, ajoaineiden ja muiden vaarallisten aineiden kuljettamiselle esitetään kuitenkin Naton turvallisuussääntöjä tukevassa direktiivissä turvallisuusluokiteltujen hankkeiden turvallisuudesta ja yritysturvallisuudesta. 

ENCLOSURE “G” 

C-M(2002)49-REV1 

ENCLOSURE “G” 

CLASSIFIED PROJECT AND INDUSTRIAL SECURITY 

INTRODUCTION 

1. This Enclosure sets out the policy and minimum standards for the security of NATO Classified Information within industry. Additional details and requirements are found in the supporting Directive on Classified Project and Industrial Security. 

2. Industrial security is the application of protective measures and procedures to prevent, detect and recover from the loss or compromise of classified information handled by industry in contracts. NATO Classified Information disseminated to industry, generated as a result of a contract with industry, and classified contracts with industry shall be protected in accordance with NATO Security Policy and supporting directives. 

3. NSAs/DSAs shall ensure that they have the means to make their industrial security 

requirements binding upon industry and that they have the right to inspect and approve 

the measures taken in industry for the protection of classified information. 

FACILITY SECURITY REQUIREMENTS 

4. All Contractors/Sub-contractors undertaking a contract involving NATO Classified 

Information requiring access to, or generation of information classified NATO CONFIDENTIAL (NC) or above shall hold a Facility Security Clearance (FSC) at the appropriate level issued by the responsible NSA/ DSA of the country that has jurisdiction over the Contractor/Sub-contractor’s 

facility. 

5. A FSC is not required for access to, or generation of information classified 

NATO RESTRICTED (NR). 

TENDERING, NEGOTIATION AND LETTING OF CONTRACTS INVOLVING NATO CLASSIFIED INFORMATION 

6. The prime contract for a NATO programme/project shall be negotiated and awarded by a NATO Programme/Project Agency/Office (NPA/NPO). An FSC shall be required for all Contractors involved in contracts that require the Contractor’s facility to manage, generate or have access to information classified NATO CONFIDENTIAL (NC) and above. For contracts classified NATO RESTRICTED (NR), an FSC is not required. 

7. The NPA/NPO or other contracting authority which initiates the contract shall ensure that Contractor’s facilities hold an appropriate FSC for the specific phase of the contract. The contracting authority shall verify that Contractor’s personnel accessing information classified NC or above at the premises of the contracting authority hold the appropriate PSC. 

8. After the prime contract has been let, a prime Contractor may negotiate sub-contracts with other Contractors, i.e., Sub-contractors. These Sub-contractors may also negotiate sub-contracts with other Sub-contractors. If these sub-contracts require access to information classified NC and above, the facility and personnel security requirements identified in the “Industrial Security Clearances for NATO Contracts” section of this Enclosure and in the Directive on Classified Project and Industrial Security shall apply. If a potential Sub-contractor is under the jurisdiction1 of a non-NATO nation prior permission to negotiate a sub-contract shall be obtained from the NPA/NPO or other contracting authority respectively. If the NPA/ NPO has placed restrictions on the award of contracts to NATO Nations that are not participants in a programme/project, the NPA/ NPO shall be requested to consider and give permission prior to contract discussion with 

contractors from those Nations. 

9. Upon letting the contract, the NPA/NPO or other contracting authority shall notify 

the NSA/DSA of the Contractor, and ensure that the Security Aspect Letter (SAL) and/or the Project Security Instruction (PSI), as applicable, is provided to the prime Contractor, with the contract. 

SECURITY REQUIREMENTS FOR CONTRACTS INVOLVING NATO CLASSIFIED INFORMATION 

10. The prime Contractor and Sub-contractors shall be contractually required, under penalty of termination of their contract, to take all measures prescribed by the NSAs/ DSAs for protecting all NATO Classified Information generated by or entrusted to the Contractor, or embodied in articles manufactured by the Contractor: 

(a) Contracts for major programme/projects involving NATO Classified Information shall contain a PSI as an annex; a “Project Security Classification Guide” shall be a part of the PSI. All other contracts involving NATO Classified Information shall include, as a minimum, a SAL, which may be a PSI that is reduced in scope. In the latter case, the Programme/Project Security Classification Guide may be referred to as a “Security Classification Checklist”. The PSI supplements the NATO security policies and requirements, establishes specific security procedures associated with the NATO programme/project concerned and assigns responsibilities for the implementation of security measures concerning classified information. 

(b) For contracts involving only information classified NR specific regulations have been established in the Directive on Classified Project and Industrial Security, in particular in its Appendix 4 “Contract Security Clause for Tenders and Contracts involving NATO RESTRICTED Information”. 

11. The security classification for programme/project elements of information associated with possible sub-contracts shall be based on the Programme/Project Security Classification Guide. 

CONTRACTS INVOLVING NATO CLASSIFIED INFORMATION WITH CONTRACTORS IN NON-NATO NATIONS 

12. The letting of contracts involving NATO Classified Information with Contractors in 

non-NATO nations constitutes release of information and shall be in accordance with Enclosure “E” to this C-M, the Directive on the Security of NATO Classified Information and the Directive on Classified Project and Industrial Security. The release shall always be with the consent of the 

relevant originator(s). 

13. Contracts involving NATO Classified Information with Contractors in non-NATO nations require the existence of a bilateral Security Agreement/Arrangement between NATO or a contracting/sponsoring NATO Nation and the non-NATO nation. If the contract is governed by a bilateral Security Agreement/Arrangement between a contracting/sponsoring NATO Nation and a non-NATO nation, the NATO Nation shall provide a written Security Assurance to NATO confirming that the NATO Classified Information provided is governed under the scope of that Security Agreement/Arrangement. A copy of the assurance shall be provided to the NOS and the relevant NPO/ NPA. 

14. Placing a contract to a Contractor of a non-NATO nation shall follow the procedures as established in the Directive on Classified Project and Industrial Security. 

15. For non-NATO nations, an appropriate security authority(s) shall be identified that fulfils the equivalent functions of a NATO Nation’s NSA/DSA. 

INDUSTRIAL SECURITY CLEARANCES FOR NATO CONTRACTS 

General 

16. The policy described in subsequent paragraphs for facilities and individuals apply to 

contracts and sub-contracts. 

Facility Security Clearances (FSC) 

17. The NSA/DSA of each NATO Nation is responsible for ensuring that any facility under its jurisdiction which will require access to information classified NC and above has adopted the protective security measures necessary to qualify for an FSC. In granting an FSC, the NSA/DSA shall ensure that they have the means to be advised of any circumstances that could have a bearing upon the viability of the clearance granted. 

18. The assessment to be made prior to issuing an FSC shall be in accordance with the requirements and criteria set out in the supporting Directive on Classified Project and Industrial Security in addition to any applicable national laws and regulations. As a minimum the assessment shall cover aspects of the integrity and probity of the Contractor/Sub-Contractor, security status of its personnel and of other individuals who may, by virtue of their association be required to have access to NATO Classified Information, and aspects of the foreign ownership, control and influence. 

19. A bidder, not holding an appropriate FSC as required by the potential contract/ subcontract shall not be automatically excluded from the competition. The contracting authority should make all efforts in restricting the security classification level of the information required to be provided to 

bidders to the lowest possible level still permitting an informed and qualified response to the invitation to tender. However, the tender document shall advise on the requirement for an appropriate FSC prior to the award of the contract/subcontract. 

20. Scenarios identifying FSC requirements are provided in the supporting Directive on 

Classified Project and Industrial Security. 

21. An FSC or PSC is not required for contracts or access to information classified NR. A nation which, under its national security laws and regulations, requires an FSC for a contract or sub-contract classified NR shall not discriminate against a Contractor from a nation not requiring an FSC, but shall ensure that the Contractor has been informed of its responsibilities in respect to 

the protection of the information, and obtains an acknowledgement of those responsibilities. 

Personnel Security Clearances for Facility Employees 

22. The facility’s employees who require access to NATO Classified Information NC and above shall hold an appropriate PSC. The issuing of PSCs shall be in accordance with Enclosure “C” to this C-M, the Directive on Personnel Security and the Directive on Classified Project and Industrial 

Security. 

23. Applications for the security clearance for Contractor employees shall be made to 

the NSA/DSA which is responsible for the facility. 

24. If a facility wishes to employ a citizen of a non-NATO nation in a position that requires access to NATO Classified Information, it is the responsibility of the NSA/ DSA of the Nation which has jurisdiction over the hiring facility, to carry out the security clearance procedure prescribed herein, and determine that the individual can be granted access in accordance with the requirements of Enclosure “C” to this C-M, the Directive on Personnel Security and the Directive on Classified Project and Industrial Security. 

RELEASE OF NATO CLASSIFIED INFORMATION IN CONTRACTING 

25. The release of NATO Classified Information in contracting can constitute either release to non-NATO nations and International Organizations or release to non-Programme/Project participants from NATO Nations. The release shall be with the consent of the relevant NPA/NPO and/or originator, as applicable, and in accordance with other relevant enclosures to the NATO 

Security Policy, the Directive on the Security of NATO Classified Information as well as the Directive on Classified Project and Industrial Security. 

THE HANDLING OF CLASSIFIED INFORMATION IN COMMUNICATION AND INFORMATION SYSTEMS (CIS) 

26. Only appropriately security accredited CIS shall be used for the storing, processing or transmitting (called hereafter “handling") of NATO Classified Information. Enclosure “F” to this C-M, the “Primary Directive on CIS Security” (AC/35-D/2004), the “Management Directive on CIS security” 

(AC/35-D/2005) and all relevant Technical and Implementation Directives on CIS Security (AC/322 documents) provide further policy and directions for the conformant implementation of CIS handling NATO Classified Information. 

27. The security accreditation of CIS handling information classified NR may be delegated to Contractors according to national security laws and regulations. Where this delegation is exercised, the relevant NSAs/ DSAs/SAAs shall retain the responsibility for the protection of NR information handled by the Contractor and the right to inspect the security measures taken by the Contractors. 

INTERNATIONAL VISIT CONTROL PROCEDURES (IVCP) 

28. IVCP apply to international visits by representatives of NATO Nations, NATO Civil and Military bodies, Contractors and Sub-Contractors involving NATO Classified Information. They also apply to representatives of a non-NATO nation including Contractors/Sub-Contractors of such Nation if the Nation has adopted the IVCP. 

29. Visits involving access to information classified NC and above or unescorted access to security areas shall be approved by the NSA/DSA. Visits involving access to NU2 or information classified NR may be arranged directly between the sending and receiving facility without formal requirements. 

30. Detailed arrangements for the conduct of International Visits are laid down in the Directive on Classified Project and Industrial Security. 

PERSONNEL ON LOAN WITHIN A NATO PROJECT/ PROGRAMME 

31. When an individual who has been cleared for access to NATO Classified Information is to be loaned from one facility to another in the same NATO programme/ project, but in a different NATO Nation, the individual’s parent facility shall request its NSA/DSA to provide a Personnel Security Clearance Confirmation for the individual to the NSA/DSA of the facility to which they are to be loaned. 

INTERNATIONAL TRANSMISSION AND TRANSPORTATION OF NATO CLASSIFIED MATERIAL 

Security Principles Applicable to all Forms of Transportation 

32. The following principles shall be enforced when examining proposed security arrangements for the international transportation of consignments of classified material: 

(a) security shall be assured at all stages during the transportation and under all circumstances, from the point of origin to the ultimate destination; 

(b) the degree of protection accorded to a consignment shall be determined by the highest security classification level of material contained within it; 

(c) an FSC shall be obtained, where required, for companies providing transportation. In such cases, personnel handling the consignment shall be issued a PSC in compliance with the provisions of this Enclosure; 

(d) journeys shall be point-to-point to the extent possible, and shall be completed as 

quickly as circumstances permit; and 

(e) care shall be exercised to arrange routes only through NATO Nations. Routes through non-NATO nations should only be undertaken when authorised by the NSA/ DSA having jurisdiction over the consignor and in accordance with the supporting Directive on the Security of NATO Classified Information. 

33. Arrangements for consignments of classified material shall be stipulated for each programme/project. However, such arrangements shall be in force in order to minimize the likelihood of unauthorised access to classified material. 

34. The security standards for the international transfer of NATO Classified Information can be found in the supporting Directive on the Security of NATO Classified Information. However, the detailed requirements for the hand carriage of NATO classified material, carriage of classified material by commercial courier companies, security guards and escorts, and the transportation of 

explosives, propellants or other dangerous substances are set out in the supporting Directive on Classified Project and Industrial Security. 

LIITE H 

C-M(2002)49-REV1 

LIITE H 

TURVALLISUUS SUHTEISSA NATON ULKOPUOLISIIN TOIMIJOIHIN 

JOHDANTO 

1. Tässä liitteessä esitetään ne periaatteet ja vähimmäisvaatimukset, joita noudatetaan suojattaessa Naton ulkopuolisille valtioille ja muille Naton ulkopuolisille elimille (esim. kansainvälisille järjestöille) (jäljempänä "Naton ulkopuoliset toimijat" (NNE)) luovutettavaa tai näiden pääsyoikeuden piiriin kuuluvaa Naton turvallisuusluokiteltua tietoa, mukaan lukien näitä valtioita tai elimiä edustavat henkilöt. 

2. Naton turvallisuusluokitellun tiedon jakamisen Naton ulkopuolisten toimijoiden kanssa tulee tapahtua Pohjois-Atlantin neuvoston (NAC) hyväksymän Naton yhteistyötoiminnan yhteydessä. Pohjois-Atlantin neuvosto tai asianomainen valtuutettu viranomainen käsittelee ja hyväksyy tapauskohtaisesti pyynnöt Naton turvallisuusluokitellun tiedon jakamisesta Naton ulkopuolisten toimijoiden kanssa tällaisen yhteistyötoiminnan ulkopuolella. Lisätietoja ja vaatimuksia Naton ulkopuolisille toimijoille luovutettavan tai näiden pääsyoikeuden piiriin kuuluvan Naton turvallisuusluokitellun tiedon suojaamiseksi on Naton turvallisuussääntöjä tukevassa direktiivissä turvallisuudesta Naton suhteissa Naton ulkopuolisiin toimijoihin. 

3. "7 Naton ulkopuolista valtiota", (7NNN), tarkoittaa yksinomaan seuraavia valtioita ja niiden kansalaisia: Australia, Irlanti, Itävalta, Ruotsi, Suomi, Sveitsi ja Uusi-Seelanti. Kansalliset turvallisuusviranomaiset / määrätyt turvallisuusviranomaiset voivat ehdottaa muutoksia valtioiden luetteloon turvallisuuskomitean hyväksyttäväksi.1 NSAs/DSAs may propose changes to the list of countries, for approval by the Security Committee. 

4. Kukin Naton ulkopuolinen toimija perustaa asianmukaisen turvallisuusviranomaisen, joka vastaa Naton turvallisuusluokitellun tiedon turvallisuudesta. Naton turvallisuussääntöjä tukevassa asiakirjassa turvallisuudesta Naton ulkopuolisten toimijoiden suhteissa Natoon annetaan näille toimijoille yleiskuva niistä turvallisuuden perusperiaatteista ja vähimmäisvaatimuksista, joita on sovellettava suojattaessa ja käsiteltäessä Naton turvallisuusluokiteltua tietoa ja vastaavaa kansallista tietoa, kun sitä vaihdetaan Pohjois-Atlantin neuvoston hyväksymän Naton yhteistyötoiminnan yhteydessä. 

YLEISET VAATIMUKSET 

5. Naton turvallisuusluokiteltua tietoa voidaan vaihtaa Naton ulkopuolisten toimijoiden kanssa seuraavissa yhteyksissä: 

(a) Pohjois-Atlantin neuvoston hyväksymä yhteistyötoiminta, johon Pohjois-Atlantin neuvosto on hyväksynyt Naton ulkopuolisen toimijan osallistumaan;  

(b) Naton toiminta (esim. ohjelma, hanke, operaatio, tehtävä), jossa Naton ulkopuolisen toimijan osallistumisen ja sen mukanaolon toiminnassa joltakin osin katsotaan hyödyttävän Natoa; tai 

(c) Naton jäsenvaltion ja Naton ulkopuolisen toimijan väliset kahdenväliset sitoumukset, joiden osalta Naton turvallisuusluokitellun tiedon jakamisen Naton ulkopuolisen toimijan kanssa katsotaan hyödyttävän Natoa. 

6. Ennen Naton turvallisuusluokitellun tiedon jakamista Naton ulkopuolisen toimijan kanssa kyseisen toimijan ja Naton on tullut tehdä turvallisuussopimus, jonka toteuttaminen Naton turvallisuustoimiston (NOS) on vahvistettava. Jos turvallisuussopimusta ei ole tehty, on tullut antaa turvallisuusvakuutus, jos on poliittisesti tai operatiivisesti välttämätöntä jakaa Naton turvallisuusluokiteltua tietoa oikea-aikaisesti Pohjois-Atlantin neuvoston hyväksymän yhteistyötoiminnan tukemiseksi tai poikkeustapauksissa tällaisen toiminnan ulkopuolella. Turvallisuussääntöjä tukevassa direktiivissä turvallisuudesta Naton suhteissa Naton ulkopuolisiin toimijoihin kuvataan yksityiskohtaiset määräykset, joita sovelletaan Naton turvallisuusluokitellun tiedon jakamiseen Naton ulkopuolisten toimijoiden kanssa 5. kohdassa mainituissa yhteyksissä. 

TURVALLISUUSSOPIMUKSET JA HALLINNOLLISET JÄRJESTELYT 

7. Turvallisuussopimus on järjestelmä, jonka avulla mahdollistetaan turvallisuusluokitellun tiedon vaihtaminen tietyn Naton ulkopuolisen toimijan kanssa. Turvallisuussopimuksessa määrätään Naton ja Naton ulkopuolisen toimijan välillä sovitut korkean tason strategiset periaatteet, jotka toimivat perustana asianmukaisten turvatoimien toteuttamiselle tarkoituksena suojata tarvittaessa sekä Naton että Naton ulkopuolisen toimijan turvallisuusluokiteltua tietoa. Ennen Naton turvallisuusluokitellun tiedon luovuttamista Naton ulkopuoliselle toimijalle Naton turvallisuustoimiston on vahvistettava, että tämä toimija noudattaa turvallisuussopimusta. 

8. Turvallisuussopimuksen turvallisuusperiaatteita tuetaan asianmukaisella hallinnollisten järjestelyjen kokonaisuudella. Hallinnolliset järjestelyt tukevat turvallisuussopimuksen toteuttamista ja koostuvat määräyksistä, joissa asetetaan turvallisuuden perusvaatimukset vaihdettavan turvallisuusluokitellun tiedon suojaamiseksi asianmukaisella ja keskinäisesti hyväksyttävällä tavalla. Kun hallinnollisista järjestelyistä on sovittu, Naton turvallisuustoimisto vahvistaa niiden soveltamisen turvallisuustarkastuksen avulla. 

9. Naton turvallisuustoimisto tekee Naton ulkopuolisten toimijoiden asianomaisille elimille määräajoin, vähintään kahden vuoden välein, riskinhallinnan lähestymistapaan perustuvia turvallisuustarkastuksia varmistaakseen turvallisuussopimuksen ja hallinnollisten järjestelyjen jatkuvan noudattamisen. 

TURVALLISUUSVAKUUTUKSET 

10. Turvallisuusvakuutusta käytetään, jos Naton ja Naton ulkopuolisen toimijan välillä ei ole voimassa vahvistettua turvallisuussopimusta ja jos on poliittisesti tai operatiivisesti välttämätöntä jakaa Naton turvallisuusluokiteltua tietoa oikea-aikaisesti Pohjois-Atlantin neuvoston hyväksymän yhteistyötoiminnan tukemiseksi tai poikkeustapauksissa tällaisen toiminnan ulkopuolella. Naton turvallisuussääntöjä tukevassa direktiivissä turvallisuudesta Naton suhteissa Naton ulkopuolisiin toimijoihin määrätään yksityiskohtaisista edellytyksistä, jotka on täytettävä käytettäessä turvallisuusvakuutusta. 

11. Turvallisuusvakuutus virallistaa Naton ulkopuolisen toimijan sitoumuksen suojata vastaanottamansa Naton turvallisuusluokiteltu tieto asianmukaista tasoa noudattaen. Turvallisuusvakuutus rajoitetaan koskemaan tiettyä toimintaa tietyn ajan. 

12. Naton ulkopuolisen toimijan antama turvallisuusvakuutus, jonka tämän toimijan asianmukaisesti valtuuttama edustaja on allekirjoittanut, annetaan Naton turvallisuustoimistolle, kun turvallisuusvakuutusta käytetään tarkoituksena mahdollistaa Naton turvallisuusluokitellun tiedon jakaminen seuraavien tukemiseksi: 

(a) Pohjois-Atlantin neuvoston hyväksymä yhteistyötoiminta tai 

(b) tapauskohtaisesti Naton toiminta, johon Pohjois-Atlantin neuvosto tai asianomainen valtuutettu viranomainen on hyväksynyt Naton ulkopuolisen toimijan osallistumaan. 

Naton jäsenvaltion toimiminen takaajana 

13. Naton turvallisuusluokitellun tiedon jakaminen muun kuin 12.a tai 12.b kohdassa määritellyn toiminnan yhteydessä Naton jäsenvaltion erityisestä pyynnöstä edellyttää takaajaa. Takaajana toimiminen tarkoittaa tietynlaista Naton jäsenvaltion tukea Naton ulkopuoliselle toimijalle tarkoituksena mahdollistaa Naton turvallisuusluokitellun tiedon jakaminen tämän toimijan kanssa, jos Naton ja tämän toimijan välillä ei ole voimassa vahvistettua turvallisuussopimusta. 

14. Jotta Naton jäsenvaltio voi toimia takaajana, takaajan ja Naton ulkopuolisen toimijan välillä on oltava olemassa asianmukainen turvallisuusjärjestely (esim. turvallisuussopimus tai muu sovellettava järjestely). Takaajan on toimitettava Naton turvallisuustoimistolle kirjallinen turvallisuusvakuutus, jonka on allekirjoittanut Naton ulkopuolisen toimijan asianmukaisesti valtuuttama edustaja. Turvallisuusvakuutuksessa asetetaan ne vähimmäisvaatimukset, joita Naton ulkopuolisen toimijan on sovellettava Naton turvallisuusluokitellun tiedon suojaamiseksi. 

15. Takaajana toimiminen rajoitetaan koskemaan tiettyä toimintaa tietyn ajan. 

ERITYISET TURVALLISUUSMÄÄRÄYKSET 

16. Jaettaessa Naton turvallisuusluokiteltua tietoa Naton ulkopuolisten toimijoiden kanssa voidaan pääsy Naton turvallisuusluokiteltuun tietoon tai toimitilaan sallia näille toimijoille kolmella tavalla: pääsy Naton toimitiloihin, pääsy Naton turvallisuusluokiteltuun tietoon ja Naton turvallisuusluokitellun tiedon luovuttaminen. Naton turvallisuussääntöjä tukevassa direktiivissä turvallisuudesta Naton suhteissa Naton ulkopuolisiin toimijoihin määrätään kussakin tilanteessa sovellettavista yksityiskohtaisista edellytyksistä sekä erityistoimista ja menettelyistä. 

Henkilöstöturvallisuus 

17. Ennen kuin Naton ulkopuolista toimijaa edustavalle henkilölle annetaan pääsy turvallisuusluokkaan NATO CONFIDENTIAL tai sitä ylempään luokkaan luokiteltuun tietoon, hänen on tullut läpäistä vähintään samantasoinen PSC-menettely kuin se, joka Naton turvallisuusperiaatteiden ja niitä tukevien ohjeiden mukaan vaaditaan Naton jäsenvaltion kansalaiselta. 

18. Turvallisuusluokkaan NATO RESTRICTED luokiteltuun tietoon pääsemiseksi ei vaadita todistusta henkilöturvallisuusselvityksestä. Kyseisellä Naton ulkopuolista toimijaa edustavalla henkilöllä on kuitenkin oltava tiedonsaantitarve, hänelle on selostettava hänen turvallisuusvelvoitteensa Naton turvallisuusluokitellun tiedon suojaamisen suhteen, ja hänen on tullut kirjallisesti tai vastaavalla kiistämättömyyden varmistavalla menetelmällä ilmoittaa ymmärtäneensä turvallisuusvelvoitteensa. 

19. Todistusta henkilöturvallisuusselvityksestä voidaan vaatia edellytyksenä pääsylle Naton toimitiloihin sellaisten erityisten edellytysten perusteella, joista määrätään Naton turvallisuussääntöjä tukevassa direktiivissä turvallisuudesta Naton suhteissa Naton ulkopuolisiin toimijoihin ja sovellettavissa paikallisissa turvallisuusmääräyksissä.  

Toimitilaturvallisuus 

20. Naton ulkopuolisia toimijoita edustaville henkilöille, joiden on toimeksiantonsa ja virallisten tehtäviensä vuoksi tavattava säännöllisesti Naton henkilöstöä, voidaan sallia pääsy tietyille alueille, joilla säilytetään tai käsitellään turvallisuusluokkaan NATO RESTRICTED ja sitä ylempiin luokkiin luokiteltua tietoa ja/tai siitä keskustellaan. Näille henkilöille voidaan myös antaa työskentelytilaa tietyiltä alueilta. Pääsyn salliminen ilman saattajaa ja/tai työskentelytilan antaminen käsitellään tapauskohtaisesti. 

21. Naton turvallisuussääntöjä tukevassa direktiivissä turvallisuudesta Naton suhteissa Naton ulkopuolisiin toimijoihin on yksityiskohtaista tietoa edellytyksistä, joilla Naton ulkopuolisia toimijoita edustaville henkilöille voidaan sallia pääsy Naton luokan I tai II turva-alueelle tai hallinnolliselle vyöhykkeelle, sekä tällöin noudatettavasta menettelystä ja toimivaltaisista hyväksyntäviranomaisista. 

Tietoaineistoturvallisuus 

22. Naton ulkopuolisten toimijoiden kanssa tehtävässä yhteistyössä voidaan pääsy Naton turvallisuusluokiteltuun tietoon sallia näille toimijoille kolmella tavalla: 

(a) pääsy Naton toimitiloihin. Naton ulkopuolista toimijaa edustavalle henkilölle sallitaan fyysinen pääsy tiettyyn Naton tilaan tai yksikköön tai tietylle alueelle yksikön sisällä. Fyysinen pääsy ei automaattisesti sisällä pääsyä Naton turvallisuusluokiteltuun tietoon; 

(b) pääsy Naton turvallisuusluokiteltuun tietoon. Naton ulkopuolista toimijaa edustavalle henkilölle sallitaan pääsy Naton turvallisuusluokiteltuun tietoon, jotta hän voi hoitaa toimeksiantonsa ja viralliset tehtävänsä, kun pääsy hyödyttää Natoa. Pääsy sallitaan vain kyseiselle henkilölle, eikä hän saa jakaa Naton turvallisuusluokiteltua tietoa eteenpäin edustamalleen Naton ulkopuoliselle toimijalle, ellei kyseistä tietoa ole luovutettu vakiintuneiden menettelyjen mukaisesti; 

(c) Naton turvallisuusluokitellun tiedon luovuttaminen. Naton turvallisuusluokiteltua tietoa sallitaan luovutettavan Naton ulkopuoliselle toimijalle. 

23. Naton turvallisuussääntöjä tukevassa direktiivissä turvallisuudesta Naton suhteissa Naton ulkopuolisiin toimijoihin määrätään yksityiskohtaisista edellytyksistä, jotka on täytettävä tietyissä tilanteissa, kun Naton sotilas- tai siviilielinten tai Naton jäsenvaltioiden on määrä sallia pääsy Naton turvallisuusluokiteltuun tietoon tai luovuttaa sitä. 

24. Naton turvallisuusluokitellun tiedon luovuttaminen Naton ulkopuoliselle toimijalle edellyttää aina alkuperäisen yhden tai useamman luovuttajan kirjallista ennakkosuostumusta. 

25. Naton turvallisuusluokiteltua tietoa voidaan luovuttaa Pohjois-Atlantin neuvoston hyväksymän yhteistyötoiminnan yhteydessä tai Naton toiminnan yhteydessä, jos Pohjois-Atlantin neuvosto tai asianomainen valtuutettu viranomainen on hyväksynyt tähän toimintaan osallistuvat Naton ulkopuoliset toimijat. Naton turvallisuussääntöjä tukevassa direktiivissä turvallisuudesta Naton suhteissa Naton ulkopuolisiin toimijoihin määrätään lisäedellytyksistä, joita on sovellettava ennen tiedon luovuttamista. 

26. Direktiivissä turvallisuudesta Naton suhteissa Naton ulkopuolisiin toimijoihin määritetään myös lisäedellytykset, joita on sovellettava ennen Naton turvallisuusluokitellun tiedon luovuttamista, kun sitä luovutetaan Naton jäsenvaltion (takaajan) erityisestä pyynnöstä Naton ulkopuoliselle toimijalle, joka ei osallistu Pohjois-Atlantin neuvoston hyväksymään yhteistyötoimintaan tai Naton toimintaan, ja kun Pohjois-Atlantin neuvosto tai asianomainen valtuutettu viranomainen on hyväksynyt kyseiseen toimintaan osallistuvat Naton ulkopuoliset toimijat. 

27. Jos kansainvälisen järjestön kanssa on voimassa turvallisuussopimus tai turvallisuusvakuutus, on luovutettaessa Naton turvallisuusluokiteltua tietoa Naton ulkopuolisille järjestön jäsenille noudatettava sovellettavia turvallisuussopimuksen määräyksiä sekä muita vakiintuneita sääntöjä niiden osallistumisesta Naton toimintaan. Jollei turvallisuussopimusta ole voimassa, ja jos kansainvälisen järjestön kanssa on voimassa turvallisuusvakuutus, on luovutettaessa Naton turvallisuusluokiteltua tietoa Naton ulkopuolisille järjestön jäsenille noudatettava Naton turvallisuussääntöjä tukevan direktiivin sovellettavia määräyksiä ja turvallisuusvakuutusta. 

28. Mihinkään turvallisuusluokkaan luokiteltuun ATOMAL-tietoon ei saa sallia pääsyä eikä sitä saa luovuttaa Naton ulkopuoliselle toimijalle, joka ei ole osapuolena voimassa olevassa sopimuksessa Pohjois-Atlantin sopimuksen osapuolten välillä ydinpuolustustietoja koskevasta yhteistyöstä (C-M(64)39). 

Luovuttajaviranomainen 

29. Pohjois-Atlantin neuvostolla on ylin toimivalta luovutettaessa Naton turvallisuusluokiteltua tietoa Naton ulkopuolisille toimijoille. Tätä toimivaltaa käytettäessä noudatetaan alkuperäisen luovuttajan suostumuksen periaatetta, ja toimivaltaa siirretään 

(a) asianomaiselle aihekohtaiselle komitealle sellaisen turvallisuusluokkaan NATO SECRET ja sitä alempiin luokkiin luokitellun tiedon osalta, joka on peräisin kyseiseltä komitealta ja/tai sen alaisilta elimiltä. Turvallisuusluokkaan NATO RESTRICTED luokitellun tiedon osalta asianomainen aihekohtainen komitea voi siirtää toimivaltaa edelleen käytettäväksi selvästi määritellyssä henkilöstön tukitoiminnossa tai kyseisen komitean tukihenkilöstön tietyssä yhdessä tai useammassa tehtävässä; 

(b) sotilaskomitealle sellaisen turvallisuusluokkaan NATO SECRET ja sitä alempiin luokkiin luokitellun tiedon osalta, joka on peräisin sotilaskomitealta ja/tai sen alaisilta elimiltä. Turvallisuusluokkaan NATO RESTRICTED luokitellun tiedon osalta sotilaskomitea voi siirtää toimivaltaa edelleen käytettäväksi selvästi määritellyssä henkilöstön tukitoiminnossa tai sotilaskomitean tukihenkilöstön tietyssä yhdessä tai useammassa tehtävässä;  

(c) Naton Euroopan joukkojen komentajalle tai varakomentajalle sellaisen turvallisuusluokkaan NATO SECRET ja sitä alempiin luokkiin luokitellun tiedon osalta, joka katsotaan voitavan luovuttaa kulloisellekin operaatiolle (XFOR) tai joka on luokiteltu turvallisuusluokkaan NATO/XFOR SECRET (mission SECRET), tietyin edellytyksin, joista määrätään yksityiskohtaisesti Naton turvallisuussääntöjä tukevassa direktiivissä turvallisuudesta Naton suhteissa Naton ulkopuolisiin toimijoihin.  

(d) Naton transformaatioesikunnan komentajalle tai varakomentajalle turvallisuusluokkaan NATO SECRET ja sitä alempiin luokkiin luokitellun tiedon osalta tietyin edellytyksin, joista määrätään yksityiskohtaisesti Naton turvallisuussääntöjä tukevassa ohjeessa turvallisuudesta Naton suhteissa Naton ulkopuolisiin toimijoihin; 

(e) operaation komentajalle Pohjois-Atlantin neuvoston hyväksymässä operaatiossa, johon osallistuu joukkoja luovuttavia Naton ulkopuolisia valtioita (NNTCN), sellaisen turvallisuusluokkaan NATO SECRET ja sitä alempiin luokkiin luokitellun tiedon osalta, joka on jo katsottu voitavan luovuttaa operaatiolle (XFOR), tietyin edellytyksin, joista määrätään yksityiskohtaisesti Naton turvallisuussääntöjä tukevassa direktiivissä turvallisuudesta Naton suhteissa Naton ulkopuolisiin toimijoihin; 

(f) Naton tuotanto- ja logistiikkaorganisaatiolle (NPLO), organisaatioon osallistuvien valtioiden kanssa koordinoiden, sellaisen Naton turvallisuusluokitellun tiedon osalta, joka on peräisin yhdeltä tai useammalta organisaatioon osallistuvalta valtiolta ja kuuluu tälle. 

30. Lukuun ottamatta 29.a ja 29.b kohdassa mainittuja poikkeuksia, jotka koskevat turvallisuusluokkaan NATO RESTRICTED luokiteltua tietoa, valtuutetut luovuttajaviranomaiset eivät saa siirtää valtuuksiaan eteenpäin. 

31. Toimivaltaa luovuttamiseen saa siirtää asianomaiselle aihekohtaiselle komitealle vain, jos tiedon alkuperäinen yksi tai useampi luovuttaja on edustettuna komiteassa. Jos alkuperäistä yhtä tai useampaa luovuttajaa ei voida selvittää, asianomainen aihekohtainen komitea ottaa alkuperäisen luovuttajan vastuun. 

32. Täytäntöönpano-ohjeissa tiedustelutiedon jakamiseksi Naton ja Naton ulkopuolisten toimijoiden välillä (DSG(2015)0307-REV1) sekä Naton turvallisuussääntöjä tukevassa asiakirjassa tiedon ja tiedustelutiedon jakamisesta Naton ulkopuolisten toimijoiden kanssa (AC/35-D/1040) määritellään luovuttajaviranomainen operaatioiden, koulutuksen, harjoitusten, transformaation ja yhteistyön yhteydessä. 

Luovutettua tietoa koskeva kirjanpito 

33. Naton sotilas- ja siviilielinten on pidettävä kirjaa kaikista päätöksistä, jotka koskevat niiden Naton ulkopuoliselle toimijalle luovuttamaa turvallisuusluokkaan NATO CONFIDENTIAL ja sitä ylempiin luokkiin luokiteltua tietoa, sekä ilmoitettava yksityiskohtaisesti päätösten viitenumerot, otsikot ja antamispäivät vähintään kuuden kuukauden välein Naton keskusrekisterille Brysseliin, jollei toimivaltainen turvallisuusviranomainen toisin määrää. 

Viestintä- ja tietojärjestelmien turvallisuus 

34. Naton turvallisuussääntöjä tukevassa direktiivissä turvallisuudesta Naton suhteissa Naton ulkopuolisiin toimijoihin asetetaan erityiset vaatimukset, jotka on täytettävä, jotta Naton ulkopuolista toimijaa edustavalle henkilölle voidaan sallia pääsy Naton viestintä- ja tietojärjestelmiin.  

35. Naton viestintä- ja tietojärjestelmien yhteenkytkentä Naton ulkopuolisen toimijan viestintä- ja tietojärjestelmien kanssa on akkreditoitava Naton turvallisuussääntöjen ja niitä tukevien direktiivien mukaisesti. 

TIETOTURVAPOIKKEAMAT 

36. Sellaisten tietoturvapoikkeamien käsittelyssä, joihin liittyy Naton hallussa olevaa Naton ulkopuolisen toimijan turvallisuusluokiteltua tietoa, on noudatettava direktiiviä Naton turvallisuusluokitellun tiedon turvallisuudesta (AC/35-D/2002) ja mahdollisia muita määräyksiä, jotka on annettu turvallisuussopimuksessa ja täytäntöönpanoa koskevissa hallinnollisissa järjestelyissä tai Naton ulkopuolisen toimijan kanssa sovellettavassa turvallisuusvakuutuksessa.  

37. Tietoturvapoikkeamista, joihin liittyy Naton ulkopuolisen toimijan turvallisuusluokiteltua tietoa, on viipymättä ilmoitettava Naton turvallisuustoimistolle. Naton turvallisuustoimiston vastuulla on ilmoittaa viipymättä asianomaisen Naton ulkopuolisen toimijan turvallisuusviranomaiselle tietoturvapoikkeamista, joihin liittyy Naton ulkopuolisen toimijan turvallisuusluokiteltua tietoa, noudattaen turvallisuussopimusta ja täytäntöönpanoa koskevia hallinnollisia järjestelyjä tai turvallisuusvakuutusta. 

ENCLOSURE “H” 

C-M(2002)49-REV1 

ENCLOSURE “H” 

SECURITY IN RELATION TO NON-NATO ENTITIES 

INTRODUCTION 

1. This Enclosure sets out the policy and minimum standards for the protection of NATO Classified Information to be released to or accessed by non-NATO nations and other non-NATO bodies (e.g. International Organizations) including individuals representing such nations or bodies (hereinafter referred to as non-NATO entities (NNEs)). 

2. The sharing of NATO Classified Information with NNEs shall take place in the context of NATO cooperative activities approved by the North Atlantic Council (NAC). Any request to share NATO Classified Information with NNEs outside such cooperative activities shall be considered and approved by the NAC or the appropriate delegated authority on a case-by-case basis. Additional details and requirements for the protection of NATO Classified Information to be released or accessed by NNEs are found in the supporting Directive for NATO on Security in Relation to NNEs. 

3. The term 7 Non-NATO Nations (7NNN) refers solely to the following countries and 

their citizens: Australia, Austria, Finland, Ireland, New Zealand, Sweden and Switzerland.1 

4. NNEs shall establish an appropriate security authority responsible for the security of NATO Classified Information. The Supporting Document for Non-NATO Entities on Security in Relation to NATO provides the NNEs with an overview of the basic principles and minimum standards of security to be applied to the protection and handling of NATO Classified Information, and national 

equivalents exchanged in the context of NATO cooperative activities approved by the NAC. 

GENERAL REQUIREMENTS 

5. The sharing of NATO Classified Information with NNEs may take place in the contexts of: 

(a) NAC-approved cooperative activities where the NNE’s participation has been 

approved by the North Atlantic Council (NAC); 

(b) NATO activities (e.g. programme, project, operation, task) where the NNE’s 

participation and the nature of its engagement in a specific aspect of an activity is 

deemed beneficial to NATO; or 

(c) bilateral engagements between a NATO Nation and an NNE, where sharing of NATO Classified Information with an NNE has been determined to be beneficial to NATO. 

6. Prior to sharing NATO Classified Information with an NNE, the NNE and NATO shall have entered into a Security Agreement, the implementation of which shall be certified by the NATO Office of Security (NOS). In the absence of a Security Agreement, a Security Assurance shall be in place where there is a political or operational imperative to share NATO Classified Information in a timely manner in support of a NAC-approved cooperative activity or, in exceptional cases, outside such an activity. The supporting Directive for NATO on Security in Relation to NNEs describes detailed provisions applicable to sharing NATO Classified Information with NNEs in the contexts specified in paragraph 5. 

SECURITY AGREEMENTS AND ADMINISTRATIVE ARRANGEMENTS 

7. A Security Agreement is a mechanism used to enable the exchange of classified 

information with an identified NNE. It sets out high level strategic principles agreed between NATO and the NNE, providing the basis for the implementation of appropriate security measures to protect NATO Classified Information as well as the NNE’s classified information, when required. The implementation of the Security Agreement by the NNE shall be certified by the NOS before any NATO Classified Information is released to an NNE. 

8. The security principles identified in the Security Agreement shall be supported by an appropriate set of Administrative Arrangements. The Administrative Arrangements act in support of the implementation of a Security Agreement and are a set of provisions which outline the basic security requirements for the appropriate and mutually acceptable protection of the exchanged 

classified information. Once the Administrative Arrangements have been concluded their application shall be confirmed by the NOS through the conduct of a security survey. 

9. The NOS shall carry out periodic security surveys, at least once every two years, based on a risk management approach, of the relevant bodies within the NNE to ensure continued compliance with the Security Agreement and the Administrative Arrangements. 

SECURITY ASSURANCES 

10. A Security Assurance is utilized in the absence of a certified Security Agreement between NATO and an NNE where there is a political or operational imperative that necessitates the sharing of NATO Classified Information in a timely manner in support of a NAC-approved cooperative activity, or in exceptional cases outside such an activity. The supporting Directive for NATO on 

Security in Relation to NNEs provides detailed criteria to be fulfilled in cases when a Security Assurance is used. 

11. A Security Assurance formalises the NNE’s commitment to provide an appropriate degree of protection to any NATO Classified Information received. A Security Assurance is limited to the specific activity, for a specific period of time. 

12. A Security Assurance from an NNE, signed by a representative duly mandated by the NNE, shall be provided to the NOS in cases where a Security Assurance is utilized for the purposes of enabling sharing of NATO Classified Information in support of a: 

(a) NAC-approved cooperative activity, or 

(b) NATO activity, where the NNE’s participation has been approved by the NAC or the appropriate delegated authority, on a case-by-case basis. 

Sponsorship by a NATO Nation 

13. Sharing of NATO Classified Information outside activities defined in 12 (a) or (b), further to a special request by a NATO Nation, requires sponsorship. A sponsorship means a form of support provided by a NATO Nation to an NNE in order to enable sharing of NATO Classified Information 

with an NNE in case of absence of a certified Security Agreement between NATO and the NNE. 

14. In order for a NATO Nation to be able to act as a Sponsor there shall be an appropriate security framework (e.g. security agreement or other applicable arrangement) in place between the Sponsor and the NNE. The Sponsor shall provide a written Security Assurance, signed by a representative duly mandated by the NNE, to the NOS. The Security Assurance stipulates the minimum standards that the NNE shall apply for the protection of NATO Classified Information. 

15. A sponsorship is limited to a specific activity, for a specific period of time. 

SPECIFIC SECURITY PROVISIONS 

16. When sharing NATO Classified Information with NNEs there are three circumstances in which access to NATO Classified Information or premises can be provided to NNEs: access to NATO premises, access to NATO Classified Information, and release of NATO Classified Information. The supporting Directive for NATO on Security in Relation to NNEs provides detailed criteria and the related specific measures and procedures applicable for each scenario. 

Personnel Security 

17. Before an NNE individual is granted access to information classified NC or above, 

the individual shall have successfully completed a PSC procedure no less rigorous than that required for a NATO national in accordance with NATO Security Policy and its supporting directives. 

18. A PSC is not required for access to information classified NATO RESTRICTED (NR). However, the NNE individual shall have a need-to-know, shall be briefed on their security obligations in respect to the protection of NATO Classified Information and shall have acknowledged their security responsibilities in writing or an equivalent method which ensures non-repudiation. 

19. A PSC may be required to access NATO premises based on specific criteria stipulated in the supporting Directive for NATO on Security in Relation to NNEs, and the relevant local security regulations. 

Physical Security 

20. Individuals from NNEs who, because of their assignment and official duties, need regular interface with NATO staff may be granted access to specific areas in which information classified NR and above is stored, handled and/or discussed. Such individuals may also be assigned office space within specific areas. The granting of unescorted access and/or the assignment of office space shall be handled on a case-by-case basis. 

21. The supporting Directive for NATO on Security in Relation to NNEs provides detailed information on the procedure, approval authorities and the criteria to be fulfilled for individuals from NNEs to be granted access to a NATO Class I or Class II Security Area, or to an Administrative 

Zone. 

Security of Information 

22. In the context of cooperation with NNEs there are three circumstances in which access to NATO Classified Information or premises can be provided to NNEs: 

(a) Access to NATO premises. A circumstance when an individual representing an NNE is authorised to physically access a specific NATO site, facility or specific area located within a facility. Physical access does not automatically include access to NATO Classified Information. 

(b) Access to NATO Classified Information. A circumstance when an individual representing an NNE is authorised to access NATO Classified Information in order to fulfil their assignments and official duties when access is for NATO’s benefit. Access is limited to the individual in question and they are not permitted to disseminate NATO Classified Information further to their NNE unless that information has been released in accordance with the established procedures. 

(c) Release of NATO Classified Information. A circumstance when NATO Classified Information is authorised to be released to an NNE. 

23. The supporting Directive for NATO on Security in Relation to NNEs provides detailed criteria that needs to be fulfilled in specific circumstances when access to or release of NATO Classified Information is to be provided by NATO Civil or Military bodies, or by NATO Nations. 

24. Release of NATO Classified Information to an NNE is always subject to receiving prior written consent of the originator(s). 

25. NATO Classified Information may be released in the context of NAC-approved cooperative activity or in the context of NATO activities, where the NNE participants to that activity have been endorsed by the NAC or the appropriate delegated authority. The supporting Directive for NATO on Security in Relation to NNEs provides additional criteria to be applied prior to release. 

26. For NATO Classified Information to be released on a special request from a NATO Nation (the Sponsor) to an NNE outside NAC-approved cooperative activities or NATO activities, where the NNE participants in that activity have been endorsed by the NAC or the appropriate delegated 

authority, the supporting Directive for NATO on Security in Relation to NNEs provides additional criteria to be applied prior to release. 

27. Where a Security Agreement or Security Assurance is in force with an international 

organization, the release of NATO Classified Information to its non-NATO members shall be in accordance with the relevant provisions of the Security Agreement, as well as other established rules concerning their participation in NATO activities. In the absence of a Security Agreement, where a Security Assurance is in place with an international organization, the release of NATO 

Classified Information to its non-NATO members shall be in accordance with the relevant provisions of the supporting Directive and the Security Assurance. 

28. ATOMAL information of any security classification shall not be accessed by or released to any NNE which is not a party to the current Agreement Between the Parties to the North Atlantic Treaty for Co-operation Regarding Atomic Information C-M(64)39. 

Release Authority 

29. The NAC is the ultimate authority for the release of NATO Classified Information to NNEs. This authority respects the principle of originator consent and is delegated to: 

(a) the appropriate subject-matter committee for information classified up to and including NS which has been originated by that committee and/or bodies subordinate to it. For information classified NR, the appropriate subject-matter committee may further delegate authority to a clearly identified staff support function or a specific role(s) within the support staff to that committee; 

(b) the MC for information classified up to and including NS which has been originated by the MC and/or bodies subordinate to it. For information classified NR, the MC may further delegate authority to a clearly identified staff support function or a specific role(s) within the support staff to the MC; 

(c) SACEUR or D/SACEUR for information classified up to and including NS which is identified as being releasable to the mission (XFOR), or is classified NATO/ XFOR SECRET (mission SECRET), under specific conditions, which are in detail described in the supporting Directive for NATO on Security in Relation to NNEs; 

(d) SACT or D/SACT for information classified up to and including NS information, under specific conditions, which are in detail described in the supporting Directive for NATO on Security in Relation to NNEs; 

(e) the mission commander for an operation involving Non-NATO Troop Contributing Nations (NNTCN), as endorsed by the NAC, for information classified up to and including NS that has already been determined as releasable to the mission (XFOR), under specific conditions, which are in detail described in the supporting Directive for NATO on Security in Relation to NNEs; 

(f) the NATO Production and Logistics Organization (NPLO), in coordination with the participating nations, for NATO Classified Information originated by and belonging to one or more of the nations participating in the NPLO. 

30. With the exceptions applying to information classified NR stated in paragraphs 29 (a) and (b) above, delegated release authorities cannot further delegate their powers. 

31. Authority for release shall only be delegated to an appropriate subject-matter committee on which the originator(s) is/are represented. If the originator(s) cannot be established, the appropriate subject-matter committee shall assume the responsibility of the originator. 

32. The Implementing Instructions on Intelligence Sharing Between NATO and NNEs 

(DSG(2015)0307-REV1) and the Supporting Document on Information and Intelligence Sharing with Non-NATO Entities (AC/35-D/1040) define the Release Authority in the environments of Operations, 

Training, Exercises, Transformation or Cooperation. 

Records of Released Information 

33. NATO Civil and Military bodies shall keep records of decisions of all information classified NC and above which they have released to an NNE and shall, at least every six months, report details of the reference number, title and release date to the NATO Central Registry, Brussels, unless otherwise directed by an appropriate Security Authority. 

Communication and Information Systems Security 

34. The supporting Directive for NATO on Security in Relation to NNEs outlines specific requirements that shall be met in order for an NNE individual to be provided access to NATO Communication and Information System (CIS). 

35. Interconnection of NATO CIS with an NNE’s CIS shall be security accredited in accordance with the NATO Security Policy and its supporting directives. 

SECURITY INCIDENTS 

36. Security incidents involving an NNE’s classified information in NATO’s possession shall follow the provisions of the Directive on the Security of NATO Classified Information (AC/35-D/2002) and any additional provisions specified in the Security Agreement and the implementing Administrative Arrangements, or Security Assurance with the NNE. 

37. Security incidents involving an NNE’s classified information shall be immediately reported to the NOS. The NOS is responsible for promptly informing the relevant NNE’s Security Authority on security incidents involving an NNE’s classified information in accordance with the Security 

Agreement and the implementing Administrative Arrangements, or Security Assurance.