Vejledning om procedurer og sikkerhedsforskrifter

Udkast Sikkerhedsgodkendelse af m edarbejdere i private virksom heder på it- og teleom rådet Vejledning om procedurer og sikkerhedsforskrifter IT- og Telestyrelsen, november 2009

Indholdsfortegnelse 1 Introduktion til vejledningen... 3 2 IT- og Telestyrelsens bemyndigelse... 4 3 Virksomhedens ansvar og pligter... 5 3.1 Virksomhedens ansvar... 5 3.2 Oplysninger til IT- og Telestyrelsen... 6 3.3 Administration af sikkerhedsgodkendelser... 6 3.4 Oversigt over sikkerhedsgodkendte personer... 7 3.5 Afmelding af sikkerhedsgodkendte personer... 7 4 Procedurer for sikkerhedsgodkendelse... 8 4.1 Formål og afgrænsning... 8 4.2 Niveau for sikkerhedsgodkendelse... 8 4.3 Gyldighedsperiode... 9 4.4 Procedure... 9 4.5 Afgørelse om sikkerhedsgodkendelse...10 4.6 Når der foreligger sikkerhedsgodkendelse fra anden myndighed...11 4.7 Statsborgerskab og bopæl ved sikkerhedsgodkendelse...12 4.8 Behandling af personfølsomme oplysninger...12 5 Sikkerhedsforskrifter...13 5.1 Klassificering...13 5.2 Indsigt i klassificerede informationer...14 5.3 Forsendelse af klassificerede informationer...14 5.4 Opbevaring og behandling af klassificerede informationer...16 5.5 Destruktion af klassificerede informationer...18 5.6 Sikkerhedsbrud...19 5.7 Elektronisk håndtering af klassificerede informationer...19 Bilag 1: Formularer til sikkerhedsgodkendelse Bilag 2: Vejledning i udfyldelse af oplysningsskema Bilag 3: Klassifikationsvejledning 2

1 Introduktion til vejledningen IT- og Telestyrelsen sikkerhedsgodkender medarbejdere i private virksomheder på it- og teleområdet med henblik på håndtering af klassificerede informationer og informationer, der er beskyttelsesværdige i relation til planlægning og varetagelse af beredskabet på it- og teleområdet samt beskyttelse af samfundets elektroniske infrastruktur. Truslerne mod samfundet, både de naturgivne og de menneskeskabte, betyder, at der er et behov for at beskytte informationer af betydning for Danmarks sikkerhed og samfundets it- og teleforsyning. I det følgende redegøres for IT- og Telestyrelsens bemyndigelse til at udstede sikkerhedsgodkendelser og for hvilke procedurer, der skal følges ved ansøgning om at få medarbejdere sikkerhedsgodkendt, samt for virksomhedernes ansvar og pligter i forbindelse med sikkerhedsgodkendelser. Desuden beskrives de sikkerhedsforskrifter, virksomhederne og de medarbejdere, der er sikkerhedsgodkendt af IT- og Telestyrelsen, bør følge med hensyn til håndtering af klassificerede informationer. De angivne procedurer og sikkerhedsforskrifter gælder kun for virksomhedernes relation til IT- og Telestyrelsen. Virksomheders samarbejde med politiet, forsvaret eller andre myndigheder, samt deres eventuelle relation til NATO og EU er ikke omfattet af denne vejledning. Sikkerhedsforskrifterne er udarbejdet i overensstemmelse med Statsministeriets sikkerhedscirkulære 1 og i samråd med Politiets Efterretningstjeneste, som er national sikkerhedsmyndighed. 1 Cirkulære nr. 204 af 7. december 2001 om sikkerhedsbeskyttelse af informationer af fælles interesse for landene i NATO, EU eller WEU, andre klassificerede informationer samt informationer af sikkerhedsmæssig beskyttelsesinteresse i øvrigt. 3

2 IT- og Telestyrelsens bemyndigelse IT- og Telestyrelsen sikkerhedsgodkender medarbejdere ansat hos udbydere af elektroniske kommunikationsnet og -tjenester (teleudbydere) eller repræsentanter for disse, når hensynet til beskyttelse af elektronisk infrastruktur og informationer i relation til planlægning og varetagelse af beredskabet på it- og teleområdet taler herfor 2. Det gælder eksempelvis, hvis en medarbejder skal indgå i samarbejdet med IT- og Telestyrelsen i en beredskabssituation, eller hvis en medarbejder skal have adgang til samfundsvigtig elektronisk infrastruktur hos en anden virksomhed på it- og teleområdet. Bliver IT- og Telestyrelsen bekendt med forhold, der gør, at betingelserne for en udstedt sikkerhedsgodkendelse ikke længere er til stede, kan styrelsen inddrage sikkerhedsgodkendelsen. Det gælder eksempelvis, hvis vedkommende ikke længere varetager de opgaver for virksomheden, som lå til grund for sikkerhedsgodkendelsen IT- og Telestyrelsen kan, hvis anbefalingerne om sikkerhedsforskrifter i denne vejlednings kapitel 5 med bilag ikke efterleves, træffe afgørelse over for den enkelte virksomhed med angivelse af konkrete sikkerhedsforskrifter for behandling, opbevaring eller destruktion af klassificerede informationer i relation til beredskabet på it- og teleområdet. Manglende efterlevelse kan medføre påbud og bøde. 2 Jf. 86a i lov nr. 325 af 30. april 2008, lov om ændring af lov om konkurrence- og forbrugerforhold på telemarkedet. 4

3 Virksomhedens ansvar og pligter 3.1 Virksomhedens ansvar De virksomheder, der ejer elektroniske kommunikationsnet, der anvendes til formidling af offentlige elektroniske kommunikationstjenester 3, har pligt til af egen drift at rette henvendelse til IT- og Telestyrelsen om sikkerhedsgodkendelse af de medarbejdere eller repræsentanter for virksomheden, der varetager kontakten til styrelsen i relation til beredskabet på it- og teleområdet. Herudover kan udbydere af elektroniske kommunikationsnet og -tjenester generelt ansøge om sikkerhedsgodkendelse af virksomhedens medarbejdere eller repræsentanter for virksomheden, når hensynet til beskyttelse af samfundets elektroniske infrastruktur taler herfor. Virksomhederne skal følge de procedurer for sikkerhedsgodkendelse, som er beskrevet i denne vejledning. Virksomheden har en forpligtelse til at vejlede de sikkerhedsgodkendte medarbejdere om de angivne procedurer og sikkerhedsforskrifter, som medarbejderne skal følge. Hvis virksomheden anvender underleverandører til opgaver, der normalt kræver sikkerhedsgodkendelse af medarbejderne, kan IT- og Telestyrelsen foretage en sikkerhedsgodkendelse af underleverandørens medarbejdere. I samarbejdet med eventuelle underleverandører kan virksomheden ikke delegere sit ansvar. Virksomheden skal selv formidle anmodning om sikkerhedsgodkendelse af underleverandørers medarbejdere til IT- og Telestyrelsen. Der gælder samme regler for godkendelse af disse 3 Tjenester der udbydes til en ikke nærmere afgrænset brugerkreds. 5

medarbejdere som for virksomhedens egne medarbejdere. Virksomheden skal desuden træffe passende foranstaltninger for at sikre, at underleverandøren og dennes sikkerhedsgodkendte medarbejdere overholder de angivne procedurer og anbefalede sikkerhedsforskrifter. Virksomhedens juridisk ansvarlige typisk den administrerende direktør - har ansvaret for, at procedurer og sikkerhedsforskrifter følges. Den juridisk ansvarlige for virksomheden kan udpege en medarbejder, der varetager de daglige driftsmæssige sikkerhedsforhold på sine vegne. 3.2 Oplysninger til IT- og Telestyrelsen Inden en sikkerhedsgodkendelse af medarbejdere i virksomheden indledes, skal virksomheden skriftligt meddele IT- og Telestyrelsen følgende oplysninger: - virksomhedens registrerede navn, adresse og CVR-nummer - navn på den juridisk ansvarlige for virksomheden - navn og kontaktinformationer på den medarbejder, der af den juridisk ansvarlige er udpeget til at varetage administration af virksomhedens sikkerhedsgodkendelser. Ændringer af disse oplysninger skal løbende meddeles IT- og Telestyrelsen. Virksomheden skal desuden meddele IT- og Telestyrelsen, hvis virksomheden ophører. 3.3 Administration af sikkerhedsgodkendelser Administratoren af sikkerhedsgodkendelserne varetager virksomhedens kontakt til IT- og Telestyrelsen om alle forhold relateret til procedurer og sikkerhedsforskrifter, som er beskrevet i denne vejledning. 6

Administratoren fremsender ansøgninger til IT- og Telestyrelsens beredskabssekretariat om sikkerhedsgodkendelse af medarbejdere i virksomheden. Når virksomheden modtager meddelelse fra IT- og Telestyrelsen om, at en medarbejders ansøgning om sikkerhedsgodkendelse er imødekommet, skal medarbejderen orienteres om de sikkerhedsforskrifter, som er beskrevet i kapitel 5 med bilag. 3.4 Oversigt over sikkerhedsgodkendte personer Virksomheden skal sikre, at der til stadighed findes en opdateret liste over sikkerhedsgodkendte medarbejdere eller repræsentanter for virksomheden (herunder underleverandører). Af listen skal fremgå de sikkerhedsgodkendtes fulde navn, CPR nummer, sikkerhedsgodkendt klassifikationsgrad og dato for sikkerhedsgodkendelsen. En ajourført liste sendes til IT- og Telestyrelsen, Beredskabssekretariat, to gange årligt i henholdsvis juni og december. Samtidig bekræfter virksomheden, at de pågældende medarbejdere stadig varetager opgaver, hvor der fordres en sikkerhedsgodkendelse. 3.5 Afmelding af sikkerhedsgodkendte personer Virksomheden skal tage hver enkelt sikkerhedsgodkendelse op til nyvurdering, når omstændighederne kræver det for at sikre, at den svarer til den pågældendes aktuelle arbejdsopgaver. Det er virksomhedens pligt straks at underrette IT- og Telestyrelsen, når den sikkerhedsgodkendte ikke længere varetager de opgaver for virksomheden, der var årsag til godkendelsen, herunder hvis vedkommendes ansættelse ophører, eller hvis virksomheden får kendskab til andre forhold af betydning for opretholdelse af sikkerhedsgodkendelsen. 7

4 Procedurer for sikkerhedsgodkendelse 4.1 Formål og afgrænsning Formålet med at sikkerhedsgodkende medarbejdere i private virksomheder på it- og teleområdet er begrundet i hensynet til Danmarks sikkerhed og opretholdelse af en uforstyrret drift af samfundets it- og teleforsyning. Der skal således ske sikkerhedsgodkendelse af medarbejdere, der skal håndtere klassificerede eller i øvrigt beskyttelsesværdige oplysninger om samfundsvigtig elektronisk infrastruktur eller om beredskabet på it- og teleområdet. Der bør desuden ske sikkerhedsgodkendelse af medarbejdere, der har adgang til særligt kritiske, samfundsvigtige dele af den elektroniske infrastruktur med henblik på at mindske sandsynligheden for, at der forvoldes skade på infrastrukturen. Det gælder navnlig, hvis medarbejderen varetager en nøglefunktion i virksomheden i forhold til fortsat drift af virksomhedens kernefunktioner (herunder særligt udbuddet af samfundsvigtige offentlige itog teletjenester). En sikkerhedsgodkendelse, der er udstedt af IT- og Telestyrelsen, kan ikke anvendes i forhold til virksomhedens eventuelle samarbejde med politiet, forsvaret eller andre myndigheder. Sikkerhedsgodkendelse vil i den forbindelse skulle ske af den pågældende ansvarlige myndighed. 4.2 Niveau for sikkerhedsgodkendelse IT- og Telestyrelsen sikkerhedsgodkender kun til laveste nødvendige klassifikationsgrad. Som udgangspunkt er dette klassifikationsgraden FORTROLIGT for medarbejdere i private virksomheder i it- og telesektoren. I helt særlige tilfælde vil der kunne ske sikkerhedsgodkendelse til klassifikationsgraden HEMMELIGT. 8

Virksomheden indstiller til niveauet for sikkerhedsgodkendelse med ansøgningen om sikkerhedsgodkendelse på baggrund af de opgaver, den pågældende medarbejder varetager for virksomheden. Der henvises i den forbindelse til klassifikationsvejledningen i bilag 3. 4.3 Gyldighedsperiode En sikkerhedsgodkendelse til klassifikationsgraden TIL TJENESTEBRUG er gyldig i 10 år. En sikkerhedsgodkendelse til højere klassifikationsgrad er gyldig i 5 år. Herefter bortfalder sikkerhedsgodkendelsen uden varsel, hvorefter der, hvis der fortsat er behov for sikkerhedsgodkendelse af vedkommende, skal rettes en ny ansøgning til IT- og Telestyrelsen. IT - og Telestyrelsen kan dog til enhver tid inddrage sikkerhedsgodkendelsen inden for gyldighedsperioden, hvis betingelserne for sikkerhedsgodkendelse ikke længere er til stede. 4.4 Procedure Alle henvendelser om sikkerhedsgodkendelser skal ske til: IT- og Telestyrelsen Beredskabssekretariatet Holsteinsgade 63 2100 København Ø Kontaktpersoner Telegrafinspektør Jan Jensen, e-mail jaj@itst.dk eller telefon 35450180 Kontorfuldmægtig Helle Kristensen, e-mail hek@itst.dk, telefon 35450181 9

Ansøgningsformularer er vedlagt som bilag 1. Formularerne findes desuden på www.itst.dk [link]. Ansøger udfylder henholdsvis et oplysningsskema med en samtykkeerklæring til brug for indhentelse af oplysninger samt en tavshedserklæring. Angående udfyldelse af formularerne henvises til bilag 2. Efter udfyldelse af formularerne lægger ansøger formularerne samt 3 kopier af disse i en lukket kuvert, som administratoren af sikkerhedsgodkendelserne fremsender til IT- og Telestyrelsen vedlagt følgebrev og virksomhedserklæring vedrørende sikkerhedsgodkendelsen med 3 kopier. Når der foreligger en afgørelse om sikkerhedsgodkendelse, underretter IT- og Telestyrelsen den pågældende ansøger om sikkerhedsgodkendelsen, og meddeler samtidig virksomheden, at vedkommende er sikkerhedsgodkendt. 4.5 Afgørelse om sikkerhedsgodkendelse IT- og Telestyrelsen træffer afgørelse om sikkerhedsgodkendelse på grundlag af en konkret vurdering af de i forbindelse med ansøgningen fremsendte oplysninger om personen og en sikkerhedsundersøgelse foretaget af Politiets Efterretningstjeneste. Der lægges i afgørelsen navnlig vægt på, om den pågældende: Har udvist ubestridt loyalitet Har en sådan adfærd og karakter, herunder vaner, forbindelser og diskretion, at der ikke kan være tvivl om den pågældendes pålidelighed i forbindelse med håndtering af klassificerede informationer. Oplysninger om en eventuel ægtefælles, registreret partners eller samlevers adfærd og karakter kan tilsvarende tillægges vægt ved afgørelsen om sikkerhedsgodkendelse. 10

Den sikkerhedsundersøgelse, der foretages af Politiets Efterretningstjeneste, omfatter indhentelse af oplysninger af sikkerhedsmæssig interesse herunder oplysninger om rent private forhold. Der skal i forbindelse med ansøgningen om sikkerhedsgodkendelse gives samtykke til indhentelse af disse oplysninger. Nærmere oplysninger om omfanget af indhentelsen af oplysninger følger af samtykkeerklæringen, se bilag 1. Når Politiets Efterretningstjeneste har afsluttet sikkerhedsundersøgelsen, vurderes det, hvorvidt der er oplysninger, som bør tilgå IT- og Telestyrelsen. Der videregives kun oplysninger, såfremt de skønnes af konkret betydning for IT- og Telestyrelsens afgørelse. IT- og Telestyrelsen træffer afgørelse om, at en person, der ikke opfylder betingelserne for at kunne sikkerhedsgodkendes til et bestemt klassifikationsniveau, ikke kan sikkerhedsgodkendes. IT- og Telestyrelsens afgørelser kan påklages til ministeren for videnskab, teknologi og udvikling. 4.6 Når der foreligger sikkerhedsgodkendelse fra anden myndighed En medarbejder, som virksomheden har behov for at få sikkerhedsgodkendt i henhold til IT- og Telestyrelsens bemyndigelse til at sikkerhedsgodkende, og som inden for de sidste 5 år allerede er sikkerhedsgodkendt af anden dansk myndighed til samme klassifikationsniveau, vil, hvis der ikke er væsentlige ændringer i de grundlæggende vilkår for sikkerhedsgodkendelsen, umiddelbart kunne sikkerhedsgodkendes af IT- og Telestyrelsen. Det vil således alene være nødvendigt, at vedkommende fremsender et delvist udfyldt oplysningsskema (pkt.1-8) med underskrevet samtykkeerklæring, der bekræfter, at IT- og Telestyrelsen om nødvendigt må udveksle personfølsomme oplysninger med 11

Politiet Efterretningstjeneste om vedkommende selv og vedkommendes eventuelle ægtefælle, registrerede partner eller samlever. Oplysningsskemaet skal ledsages af en erklæring fra virksomhedens sikkerhedsansvarlige som ved normal ansøgning samt dokumentation for tidligere sikkerhedsgodkendelse. Efterfølgende skal vedkommende sættes ind i sikkerhedsforskrifterne beskrevet i kapitel 5 med bilag. 4.7 Statsborgerskab og bopæl ved sikkerhedsgodkendelse Personer med fremmed statsborgerskab og/eller personer bosat i udlandet kan generelt kun sikkerhedsgodkendes, hvis det fornødne grundlag til brug for en vurdering af sikkerhedsgodkendelsen kan tilvejebringes. Der vil være tale om en konkret vurdering i samråd med PET. 4.8 Behandling af personfølsomme oplysninger Virksomheden har ikke krav på at kende til de personlige oplysninger, som en medarbejder opgiver med henblik på at opnå en sikkerhedsgodkendelse. Derfor skal vedkommende lægge oplysningsskema m.m. i en lukket kuvert, før det videregives til virksomhedens administrator af sikkerhedsgodkendelser. Ligeledes modtager virksomheden ikke detaljerede oplysninger fra IT- og Telestyrelsen i forbindelse med et eventuelt afslag på sikkerhedsgodkendelse. Virksomheden modtager alene besked om, at ansøgningen ikke er imødekommet. Processen med håndteringen af personfølsomme oplysninger er anmeldt til og godkendt af Datatilsynet. 12

5 Sikkerhedsforskrifter Sikkerhedsforskrifterne er udarbejdet i overensstemmelse med Statsministeriets sikkerhedscirkulære. Efterlevelse af sikkerhedsforskrifterne vil i praksis normalt være en forudsætning for, at virksomhederne kan udveksle klassificerede informationer med IT- og Telestyrelsen, idet styrelsen som statslig myndighed er forpligtet til at overholde Statsministeriets sikkerhedscirkulære. I det følgende er sikkerhedsforskrifterne beskrevet med henvisning til de relevante bestemmelser i Statsministeriets sikkerhedscirkulære. 5.1 Klassificering Informationer, der skal sikkerhedsbeskyttes, klassificeres efter klassifikationsgrader. Informationers klassifikationsgrad har betydning for karakteren og omfanget af sikkerhedsforanstaltninger. Ansvaret for, at informationer, der kræver sikkerhedsbeskyttelse, klassificeres korrekt, påhviler udsteder af informationen ( 2). Af tabellen fremgår, hvilke klassifikationsgrader, der anvendes nationalt samt i NATO og i EU. NATIONAL NATO EU YDERST HEMMELIGT (YHM) COSMIC TOP SECRET (CTS) TRÈS SECRET UE HEMMELIGT (HEM) NATO SECRET (NS) SECRET UE FORTROLIGT (FTR) NATO CONFIDENTIAL (NC) CONFIDENTIEL UE TIL TJENESTEBRUG (TTJ) NATO RESTRICTED (NR) RESTREINT UE 13

= Klassifikationsgrader der anvendes i samarbejdet mellem private virksomheder og IT- og Telestyrelsen i relation til beredskabet på itog teleområdet I bilag 3 findes en klassifikationsvejledning. 5.2 Indsigt i klassificerede informationer Der må ikke gives indsigt i eller udleveres klassificerede informationer til personer, der ikke er sikkerhedsgodkendt til at behandle informationer af den pågældende klassifikationsgrad ( 12). Adgangen til klassificerede informationer skal i øvrigt begrænses til de personer, for hvem indsigt er tjenstlig nødvendig ( Need-to-know princippet - 16). Enhver, som har klassificerede informationer til gennemsyn eller behandling, har pligt til at udvise den største omhu for at sikre, at uvedkommende ikke bliver bekendt med informationerne. Alle, der har adgang til elektroniske informationssystemer, der behandler informationer klassificeret FORTROLIGT eller højere, skal af IT- og Telestyrelsen som minimum være sikkerhedsgodkendt til at behandle de højest klassificerede informationer, de har adgang til i det elektroniske informationssystem. 5.3 Forsendelse af klassificerede informationer Forsendelser, der indeholder klassificerede informationer, må kun adresseres til og åbnes af personer, der er sikkerhedsgodkendt til den klassifikationsgrad, forsendelsen indeholder ( 35). Intern forsendelse Intern forsendelse af klassificerede informationer, det vil sige forsendelse inden for samme bygningskompleks, skal ske ved overdragelse af informationerne fra hånd til hånd mellem personer, der er sikkerhedsgodkendt 14

til at behandle informationer af den pågældende klassifikationsgrad. De klassificerede informationer kan også sendes internt med særligt udpeget bud. Hvis informationerne ikke er lagt i en lukket kuvert, skal de bæres sådan, at indholdet er utilgængeligt for uvedkommende ( 31). Ekstern forsendelse Ved ekstern forsendelse af klassificerede informationer er der forskellige krav til forsendelsen afhængigt af klassifikationsgraden af informationerne. Informationer klassificeret TIL TJENESTEBRUG kan sendes som almindelig post i lukket kuvert. Modtagers kvittering er kun nødvendig, hvis afsender af informationen har stillet krav derom. Informationer klassificeret FORTROLIGT ( 33) skal sendes med kurer, der bør være godkendt til mindst denne klassifikationsgrad. Forsendelse med andet bud kan dog ske, hvis det efter en konkret vurdering i det enkelte tilfælde skønnes forsvarligt. I Danmark kan disse informationer også sendes som rekommanderet post. Sådan forsendelse til Grønland og Færøerne bør dog kun ske, hvis det efter en konkret vurdering i det enkelte tilfælde skønnes forsvarligt. Modtagers kvittering er kun nødvendig, hvis afsender af informationen har stillet krav derom. Hvor der anvendes bud eller kurer, og hvor der er krav om kvittering, skal buddet eller kureren i en særlig bog sikre sig kvittering for aflevering af forsendelsen. Informationer klassificeret til HEMMELIGT ( 33) må kun sendes med kurer, der er sikkerhedsgodkendt til denne klassifikationsgrad. Kureren skal i en særlig bog sikre sig kvittering for aflevering af forsendelsen. Modtager skal herudover kvittere for modtagelsen på en særskilt kvittering. Afsender udfærdiger en kvittering, som ikke må påføres titel eller lignende på det pågældende dokument, men alene journal- og eksemplarnummer. Modtager kvitterer straks ved modtagelsen, og sender kvitteringen retur til afsender. 15

Modtager afsenderen ikke kvitteringen, eller modtages denne med forsinkelse, skal en undersøgelse af årsagen hertil straks iværksættes. Ved forsendelse af informationer klassificeret FORTROLIGT eller HEMMELIGT skal informationerne anbringes i to kuverter af svært papir ( 32). Den indre kuvert forsynes med samme klassifikationspåtegning som informationerne i kuverten, og denne kuvert forsegles. Hvis modtager over for afsender skal kvittere særligt for modtagelsen, lægges særskilt kvittering først i den indre kuvert. Den ydre kuvert skal forsynes med et forsendelsesnummer til brug for eventuel kvittering for modtagelsen over for buddet. Klassifikationspåtegning må ikke påføres den ydre kuvert. Forsendelse af magnetiske og optiske medier Forsendelse af magnetiske og optiske medier med klassificerede informationer eller udstyr indeholdende disse medier sker efter samme regler som gælder for forsendelse af andre klassificerede informationer ( 38). 5.4 Opbevaring og behandling af klassificerede informationer Afskrift, udskrivning, kopiering, oversættelse eller anden gengivelse af klassificerede informationer må kun foretages i det omfang, det er tjenstligt nødvendigt ( 21). Kladder, koncepter, stenogrammer, notater og maskinlæsbare informationsbærende medier (f.eks. usb-nøgler) m.v., der danner grundlag for udfærdigelsen af klassificerede informationer, skal efter brugen enten straks destrueres (se afsnit 5.5) eller opbevares og behandles efter samme regler som de klassificerede informationer ( 22). 16

Diktat af informationer, der kræver sikkerhedsbeskyttelse, og samtale om deres indhold må ikke finde sted under sådanne forhold, at diktatet eller samtalen kan aflyttes ( 23). Kontorer og lokaler Kontorer og lokaler, hvor der opbevares klassificerede informationer ( 39), skal være sikret, så uvedkommende ikke kan skaffe sig adgang hertil. Kontorer og lokaler, hvor der er mulighed for indblik i klassificerede informationer, skal til stadighed være under opsyn af en medarbejder, der er sikkerhedsgodkendt til de pågældende informationer. Penge og stålskabe Informationer klassificeret FORTROLIGT eller højere skal opbevares i pengeeller stålskabe ( 42) med særlig sikre låsesystemer, der er godkendt af Politiets Efterretningstjeneste. Penge- og stålskabe, hvori der opbevares informationer klassificeret HEMMELIGT, skal være forsynet med boksalarmanlæg af anerkendt fabrikat med sabotagesikret signaloverførsel til døgnbemandet alarmcentral, medmindre der er alarmanlæg i lokalet. Låse og alarmanlæg skal regelmæssigt efterses. Nøgler til penge- eller stålskabe, hvori der opbevares klassificerede informationer, skal, når bygningen forlades, anbringes i et nøgleskab forsynet med sikker kombinationslås godkendt af Politiets Efterretningstjeneste. Nøgler må aldrig medbringes uden for bygningen ( 43). Klassificerede informationer der medtages fra arbejdsstedet 17

Klassificerede informationer, der medtages fra arbejdsstedet ( 44), må ikke tages frem på offentlige steder og må ikke efterlades på ubeskyttede steder, f.eks. i flyvemaskiner, tog, motorkøretøjer, hotelværelser eller garderober. Når informationer klassificeret HEMMELIGT medtages fra arbejdsstedet, skal de transporteres i en metaltransportkassette forsynet med sikkert låsesystem, der er godkendt af Politiets Efterretningstjeneste. Inden informationer klassificeret FORTROLIGT eller højere medtages fra arbejdsstedet, skal der laves en liste i to eksemplarer over de medbragte informationer. Det ene eksemplar opbevares på arbejdsstedet, og det andet eksemplar vedlægges informationerne. 5.5 Destruktion af klassificerede informationer Opstår der ved krigshandlinger eller under en kritisk situation af anden art fare for, at klassificerede informationer kan komme uvedkommende i hænde, skal den, der er ansvarlig for informationerne, straks sikre, at de bringes i sikkerhed eller - hvis dette ikke er muligt tilintetgøres. Den enkelte virksomhed udarbejder en plan med henblik på sikring eller tilintetgørelse af klassificerede informationer ( 46). Klassificerede informationer bør destrueres, så snart de er sat ud af kraft eller i øvrigt må anses for overflødige. Virksomhedens sikkerhedsansvarlige foranstalter destruktionen. Destruktionen foretages under kontrol ved brænding, makulering eller på anden måde, der sikrer mod rekonstruktion. Destruktionsmetoden skal være godkendt af Politiets Efterretningstjeneste ( 47). Ved destruktion af informationer klassificeret HEMMELIGT udfærdiges en attest, der underskrives af to personer, som har overværet destruktionen. I 18

attesten skal der angives journalnummer, informationens betegnelse, eksemplarnumre og tilintetgørelsesmetoden ( 47). 5.6 Sikkerhedsbrud Tab af nøgle eller kompromittering af kode til penge- eller stålskabe, hvori der opbevares klassificerede informationer, skal straks meldes til virksomhedens ledelse, der træffer foranstaltning til, at låsen omkodes eller udskiftes ( 43). Hvis klassificerede informationer bortkommer, eller der næres mistanke om, at uvedkommende kan have fået kendskab til indholdet, skal dette meldes til virksomhedens ledelse, der iværksætter en undersøgelse, underretter informationens udsteder, og søger at begrænse følgerne af sikkerhedsbruddet ( 45). 5.7 Elektronisk håndtering af klassificerede informationer Sikkerhedsgodkendelse af elektroniske informationssystemer Alle former for elektroniske informationssystemer og net beregnet til frembringelse, bearbejdning, kommunikation eller lagring af klassificerede informationer ( 26, 28) skal sikkerhedsgodkendes af Politiets Efterretningstjeneste. Nye versioner af programmel til anvendelse i sikkerhedsgodkendte informationssystemer skal ligeledes sikkerhedsgodkendes inden ibrugtagning ( 27). Politiets Efterretningstjeneste bør inddrages så tidligt som muligt i forbindelse med planlægning af anskaffelse af systemer, der skal anvendes til håndtering af klassificeret informationer. Som led i sikkerhedsgodkendelsen påhviler det virksomheden at udarbejde systemspecifikke sikkerhedskrav og en sikkerhedsinstruks, der skal godkendes af Politiets Efterretningstjeneste ( 30). 19

Krav til elektronisk håndtering af klassificerede informationer Klassificerede informationer må kun sendes eller drøftes via elektroniske kommunikationssystemer under anvendelse af sikkerhedsgodkendt kryptoudstyr ( 34). Sikkerhedsgodkendelsen foretages af Politiets Efterretningstjeneste til den pågældende klassifikationsgrad, og kan med fordel foretages samtidig med godkendelse af de elektroniske informationssystemer. Elektronisk forsendelse af informationer klassificeret HEMMELIGT, FORTROLIGT eller TIL TJENESTEBRUG kan under helt særlige omstændigheder og efter fornøden tilladelse fra udsteder af informationerne ske ukrypteret, hvis en meddelelse er yderst hastende, kryptoudstyr ikke er tilgængeligt og informationen ellers ikke kan nå rettidigt frem. Helt særlige omstændigheder vil kunne foreligge ved overhængende eller helt aktuelle kriser, konflikter eller krigssituationer ( 34). Krav til godkendt udstyr Godkendt elektronisk udstyr, der behandler eller lagrer klassificerede informationer, må hverken kobles til andre eksterne net (herunder internettet) eller til interne net, medmindre udstyr og installation er godkendt af Politiets Efterretningstjeneste ( 40). Godkendt elektronisk udstyr, herunder kabler, krydsfelter, printere m.v., der behandler informationer klassificeret FORTROLIGT eller højere, skal være installeret på en sådan måde, at informationerne ikke kompromitteres, f.eks. ved direkte elektromagnetisk udstråling eller bortledning ( 41). Politiets Efterretningstjeneste kan give vejledning herom. 20

Bærbart it-udstyr (laptops, elektroniske notesbøger m.v.) med fast lagermedie (f.eks. harddisk) er specielt egnet og udformet til brug væk fra den daglige arbejdsplads eller på rejser. Opbevares der klassificeret information på udstyret, skal kravene opfyldes, som gælder for mærkning, registrering, opbevaring og transport af klassificerede dokumenter ( 49). Alle udefra kommende lagermedier, der anvendes på godkendt, klassificeret itudstyr, skal kontrolleres for virus, inden der læses data ind i udstyret. Der skal anvendes et antivirusprogram, som løbende skal opdateres. Opstår der unormale forhold under brug af it-udstyret, skal virksomhedens ledelse straks underrettes ( 51). 21

Bilag 1: Formularer til sikkerhedsgodkendelse Formularerne er ikke vedlagt dette udkast. 22

Bilag 2: Vejledning i udfyldelse af oplysningsskema Ad pkt. 9: Oplysninger om nære slægtninge eller bekendte ansat i offentlige myndigheder I de tilfælde, hvor en ansøger ikke kan anføre referencer til tidligere arbejdssteder under punkt 12, typisk fordi arbejdspladsen ikke længere eksisterer, eller fordi ansættelsesforholdet har været meget kortvarigt, kan der under dette punkt anføres personer ansat i offentlige myndigheder, der kan bruges som alternative referencer. Ad pkt. 11: Udlandsophold Hvis dette punkt er udfyldt, skal der anføres nøjagtig og fuldstændig postadresse på arbejdssted(er) og/eller opholdssted(er). Ad samtykkeerklæringen Samtykkeerklæringen skal underskrives af både ansøger og eventuel ægtefælle, registreret partner eller samlever. Ad påtegning Administrator af sikkerhedsgodkendelser i virksomheden skal foretage påtegning på virksomhedens bilag til oplysningsskemaet. I den forbindelse anføres, om ansøgeren efter administrators opfattelse udviser ubestridt loyalitet og har en sådan adfærd og karakter, herunder vaner, forbindelser og diskretion, at der ikke kan være tvivl om den pågældendes pålidelighed i forbindelse med håndtering af klassificerede informationer. Det anføres i øvrigt, hvor længe virksomheden har kendt pågældende. På bilaget anføres også hvilke funktioner, den pågældende ansøger skal udføre, der kræver en sikkerhedsgodkendelse. 23

Fremsendelsesproces Ansøger afleverer det udfyldte skema samt en kopi heraf i en lukket kuvert til administrator af sikkerhedsgodkendelserne i virksomheden, som fremsender den lukkede kuvert i uåbnet stand sammen med den særskilte påtegning til ITog Telestyrelsen. Tavshedserklæring Sammen med kuverten med oplysningsskemaet fremsendes en underskrevet tavshedserklæring. Erklæringen skal underskrives i overværelse af virksomhedens administrator af sikkerhedsgodkendelser. En kopi af den underskrevne erklæring udleveres til ansøger. 24

Bilag 3: Klassifikationsvejledning Klassifikationsgrader Informationer, der kræver sikkerhedsbeskyttelse, skal klassificeres som følger ( 1): 1. YDERST HEMMELIGT: Denne klassifikation anvendes kun om informationer, hvis videregivelse til personer, der ikke er sikkerhedsgodkendt til dette klassifikationsniveau, ville kunne forvolde vitale interesser i den danske stat og det danske samfund overordentlig alvorlig skade. Denne klassifikationsgrad anvendes normalt ikke ved samarbejdet mellem private virksomheder og IT- og Telestyrelsen i relation til beredskabet på it- og teleområdet. Hvis der sker en sikkerhedsgodkendelse til denne klassifikationsgrad, anviser IT- og Telestyrelsen i relevant omfang yderligere sikkerhedsforskrifter til pågældende virksomhed og medarbejder i overensstemmelse med Statsministeriets sikkerhedscirkulære. 2. HEMMELIGT: Anvendes kun om informationer, hvis videregivelse til personer, der ikke er sikkerhedsgodkendt til dette klassifikationsniveau, ville kunne forvolde vitale interesser i den danske stat og det danske samfund alvorlig skade. Ved vurderingen af sandsynligheden for alvorlig skade skal blandt andet indgå hensynet til beskyttelse af liv, miljøet, den offentlige ro, orden og sikkerhed, samfundsvigtig infrastruktur (herunder på it og teleområdet), forbindelser med udenlandske samarbejdspartnere samt Danmarks finansielle, monetære, økonomiske og handelsmæssige interesser. 25

3. FORTROLIGT: Anvendes om informationer, hvis videregivelse til personer, der ikke er sikkerhedsgodkendt til dette klassifikationsniveau, ville kunne forvolde vitale interesser i den danske stat og det danske samfund skade. Ved vurderingen af sandsynligheden for skade skal blandt andet indgå hensynet til beskyttelse af liv, miljøet, den offentlige ro, orden og sikkerhed, samfundsvigtig infrastruktur (herunder på it og teleområdet), forbindelser med udenlandske samarbejdspartnere samt Danmarks finansielle, monetære, økonomiske og handelsmæssige interesser. 4. TIL TJENESTEBRUG: Anvendes om informationer, der ikke må offentliggøres eller komme til uvedkommendes kendskab. Denne klassifikationsgrad anvendes, hvor der er behov for sikkerhedsbeskyttelse af informationer, men ikke for en højere klassifikationsgrad end TIL TJENESTEBRUG. Det vil sige, at der ikke må være sandsynlighed for, at videregivelse af informationerne til personer, der ikke er sikkerhedsgodkendt til højere klassifikationsgrad, vil medføre skade eller alvorlig skade på vitale interesser i den danske stat og det danske samfund. Ved vurderingen af behovet for sikkerhedsbeskyttelse af informationerne til klassifikationsgraden TIL TJENESTEBRUG skal blandt andet indgå hensynet til at samarbejdet med nationale og internationale parter ikke påvirkes i en negativ retning. at der kan opretholdes et operativt, effektivt og sikkerhedsmæssigt forsvarligt samarbejde på området for elektroniske kommunikationsnet og - tjenester. at der ikke påføres økonomiske tab for enkeltpersoner, virksomheder eller det offentlige - eller det gøres lettere for disse at opnå urimelig vinding eller fordel. 26

at der ikke sker brud på garanteret tavshedspligt med hensyn til oplysninger fra tredjepart. at der ikke sker overtrædelse af lovgivning om videregivelse af oplysninger. Klassifikationsgraden bestemmes generelt under hensyntagen både til informationens indhold og til den kilde, hvorfra den hidrører ( 3). Anvendelse af klassificering Enkelte dele af informationer kan kræve individuel klassifikation (delklassifikation - 4). Hvad angår mødereferater, bør det særligt overvejes, om det er muligt at klassificere de enkelte punkter individuelt med henblik på en lettere adgang til at rundsende ekstraktafskrifter af mødereferater til en videre kreds. Eventuel individuel klassifikation skal fremgå tydeligt. Ved klassifikation af informationer anvendes den laveste klassifikationsgrad, der er forenelig med de sikkerhedsmæssige hensyn ( 5). En information, der indeholder underbilag eller lignende, må ikke klassificeres lavere end de højst klassificerede underbilag. Aktpakker (charteques) skal mindst klassificeres til samme grad som den højst klassificerede information i aktpakken. Et følgebrev klassificeres mindst lige så højt som den højest klassificerede vedlagte information ( 6), men bør bære en påtegning om, at det nedklassificeres eller afklassificeres, når den eller de klassificerede vedlagte informationer fjernes. Udsteder af informationen kan ved påtegning på informationen eller ved instruks bestemme, at informationen efter et nærmere angivet tidspunkt skal nedklassificeres eller afklassificeres ( 7). Udstederen bør jævnligt gennemgå de tidligere udfærdigede klassificerede informationer med henblik på at nedklassificere eller afklassificere disse, hvor de hensyn, der betingede 27

klassifikationsgraden, ikke længere er til stede. Nedklassifikation og afklassifikation meddeles til dem, der har modtaget informationerne. Modtageren af klassificerede informationer må ikke uden udstederens samtykke nedklassificere eller afklassificere disse. Er informationerne åbenbart for lavt klassificerede af udstederen, kan modtageren klassificere dem til en højere grad. Udstederen skal da straks underrettes om opklassificeringen. Magnetiske og optiske lagermedier m.m. Magnetiske og optiske lagermedier klassificeres og beskyttes efter samme klassifikationsgrad som de klassificerede informationer, der er lagret på mediet ( 9). Sådanne medier skal derfor mærkes med den højest forekommende klassifikation af den information, som er eller har været lagret på mediet. Udskrifter af klassificeret information på sådanne medier skal behandles som klassificerede informationer i dokumentform. Der skal tages hensyn til det forhold, at større mængder information med en given klassifikation samlet kan nødvendiggøre en højere klassifikation. Systemprogrammel, applikationsprogrammer og dokumentation, der specifikt retter sig mod sikkerhedsforhold, skal efter at være taget i brug have mindst samme klassifikation og beskyttes i overensstemmelse med den information, der frembringes, behandles, kommunikeres eller lagres i det pågældende system ( 10). Klassificerede magnetiske og optiske lagermedier må ikke nedklassificeres og skal destrueres i overensstemmelse med procedurer beskrevet i 47, uanset om de klassificerede filer måtte være slettet ( 11). 28

Klassifikationsmærkning ( 18, 19 og 20) Udarbejdelse m.v. af klassificerede informationer må kun betros personer, der er sikkerhedsgodkendt til at behandle informationer af den pågældende klassifikationsgrad og en klassificeret information skal foreligge i et så begrænset antal som muligt. HEMMELIGT Dokumenter klassificerede HEMMELIGT påføres tydeligt denne klassifikationsgrad som vist neden for. Hvert dokument skal være forsynet med referencenummer (journalnummer) og dato. Referencenummeret anføres på hver side. Består et dokument af flere sider, skal disse nummereres, og arkene skal være forsvarligt sammenhæftede. Hvis et dokument skal fordeles i flere eksemplarer, skal hvert eksemplar udover referencenummeret - have et eksemplarnummer, som anføres på første side sammen med det samlede sideantal for dokumentet. Eventuelle bilag anføres tillige på første side. FORTROLIGT Dokumenter klassificerede FORTROLIGT påføres tydeligt denne klassifikationsgrad som vist neden for. Hvert dokument skal være forsynet med referencenummer (journalnummer) og dato. Eventuelle bilag anføres på første side. Består et dokument af flere sider, skal disse nummereres, og arkene skal være forsvarligt sammenhæftede. 29

TIL TJENESTEBRUG Dokumenter klassificerede TIL TJENESTEBRUG påføres tydeligt denne klassifikationsgrad som vist neden for. Hvert dokument skal være forsynet med referencenummer (journalnummer) og dato. Består et dokument af flere sider, skal disse nummereres, og arkene skal være forsvarligt sammenhæftede. 30

HEMMELIGT X nr.: Sideantal: FORTROLIGT TIL TJENESTEBRUG HEMMELIGT FORTROLIGT TIL TJENESTEBRUG 31