Art. 3 32017D0046

Die IT-Sicherheit in der Kommission beruht auf den Grundsätzen der Legalität, Transparenz, Verhältnismäßigkeit und Verantwortlichkeit.

Fragen der IT-Sicherheit werden bei der Entwicklung und Umsetzung der Kommunikations- und Informationssysteme der Kommission von Anfang an berücksichtigt. Dazu werden die Generaldirektion Informatik und die Generaldirektion für Humanressourcen und Sicherheit in ihren jeweiligen Zuständigkeitsbereichen eingebunden.

Eine wirksame IT-Sicherheit muss Folgendes in angemessenem Umfang sicherstellen: a) Authentizität: Es ist sichergestellt, dass die Informationen echt sind und aus gutgläubigen Quellen stammen; b) Verfügbarkeit: Die Informationen sind auf Anfrage einer befugten Stelle verfügbar und nutzbar; c) Vertraulichkeit: Die Informationen werden nicht gegenüber unbefugten Personen, Stellen oder Verarbeitungsprozessen offengelegt; d) Integrität: Die Genauigkeit und die Vollständigkeit der Informationen und Vermögenswerte sind gewährleistet; e) Beweisbarkeit: Es kann nachgewiesen werden, dass ein Vorgang oder ein Ereignis stattgefunden hat, sodass dieser Vorgang oder dieses Ereignis nicht nachträglich abgestritten werden kann; f) Schutz personenbezogener Daten: Es bestehen angemessene Schutzvorkehrungen für personenbezogene Daten im vollen Einklang mit der Verordnung (EG) Nr. 45/2001; g) Berufsgeheimnis: der Schutz von Informationen, die ihrem Wesen nach unter das Berufsgeheimnis fallen, insbesondere von Informationen über Unternehmen, ihre Geschäftsbeziehungen und ihre Kostenelemente gemäß Artikel 339 AEUV.

Die IT-Sicherheit beruht auf einem Risikomanagementprozess. Dieser Prozess dient der Bestimmung der Höhe der IT-Sicherheitsrisiken und der Festlegung von Sicherheitsmaßnahmen zur Verringerung dieser Risiken auf eine angemessene Höhe zu verhältnismäßigen Kosten.

Alle KIS müssen ermittelt, einem Systemeigner zugewiesen und in einem Bestandverzeichnis erfasst werden.

Die Sicherheitsanforderungen an alle KIS richten sich nach ihrem eigenen Sicherheitsbedarf und nach dem Sicherheitsbedarf der von ihnen verarbeiteten Informationen. KIS, die Dienste für andere KIS bereitstellen, können dafür ausgelegt sein, bestimmte Sicherheitsbedarfsniveaus zu unterstützen.

IT-Sicherheitspläne und IT-Sicherheitsmaßnahmen müssen in einem angemessenen Verhältnis zum Sicherheitsbedarf des KIS stehen.

Die Prozesse in Bezug auf die in den Absätzen 1 bis 7 genannten Grundsätze und Tätigkeiten werden gemäß Artikel 13 in Durchführungsbestimmungen im Einzelnen festgelegt. KAPITEL 2 ORGANISATION UND ZUSTÄNDIGKEITEN