Verdrag tussen de Regering van het Koninkrijk der Nederlanden en de Regering van de Italiaanse Republiek inzake de uitwisseling en wederzijdse beveiliging van gerubriceerde gegevens

Dit Verdrag heeft ten doel de beveiliging te waarborgen van gerubriceerde gegevens die ofwel worden uitgewisseld tussen de partijen, tussen een partij en een opdrachtnemer onder de rechtsmacht van de andere partij, of tussen opdrachtnemers onder de rechtsmacht van de respectieve partijen, of die worden gegenereerd door de partijen, opdrachtnemers of rechtspersonen binnen de reikwijdte van dit Verdrag. In dit Verdrag worden de beveiligingsprocedures en regelingen voor deze beveiliging vastgelegd.

De bepalingen van dit Verdrag zijn van toepassing op elke overeenkomst, regeling, contract of andere vorm van samenwerking waarbij gerubriceerde gegevens betrokken zijn, die of dat worden gesloten of uitgevoerd tussen de partijen, opdrachtnemers of rechtspersonen onder hun rechtsmacht.

De partijen nemen alle passende maatregelen krachtens hun nationale wet- en regelgeving om de beveiliging van gerubriceerde gegevens in overeenstemming met dit Verdrag te waarborgen.

Dit Verdrag vormt geen basis om de partijen ertoe te verplichten gerubriceerde gegevens te verstrekken of uit te wisselen.

De bevoegde beveiligingsautoriteiten van de partijen staan vermeld in de Bijlage bij dit Verdrag.

De bevoegde beveiligingsautoriteiten voorzien elkaar van de officiële contactgegevens en stellen elkaar tijdig in kennis van eventuele veranderingen daarvan.

De bevoegde beveiligingsautoriteiten stellen elkaar in kennis van enige andere beveiligingsautoriteit die verantwoordelijk is voor de implementatie van dit Verdrag.

De volgende rubriceringsniveaus van de partijen komen overeen en corresponderen met de rubriceringsniveaus die in de nationale wet- en regelgeving van de partijen staan vermeld. De Engelse vertaling maakt geen deel uit van de nationale wet- en regelgeving van de partijen en dient niet gebruikt te worden om gerubriceerde gegevens aan te duiden.

Gerubriceerde gegevens die gezamenlijk worden aangemaakt door de partijen krijgen een rubriceringsniveau toegekend dat gezamenlijk wordt overeengekomen door de partijen.

De partij van herkomst kan de gerubriceerde gegevens tevens voorzien, in het Engels, van vereisten voor de omgang ermee, om eventuele beperkingen te stellen aan het gebruik, de bekendmaking, vrijgave en toegang door de ontvangende partij.

De partijen kennen aan gerubriceerde gegevens die uit hoofde van dit Verdrag worden uitgewisseld of gegenereerd ten minste dezelfde beveiliging toe als aan hun nationale gerubriceerde gegevens met een overeenkomstig rubriceringsniveau.

De verstrekkende partij voorziet de gerubriceerde gegevens van de juiste rubriceringsmarkering, in overeenstemming met haar nationale wet- en regelgeving. De ontvangende partij kan een indicatie toevoegen om te waarborgen dat de gerubriceerde gegevens die van de verstrekkende partij worden ontvangen worden beveiligd op het overeenkomstige rubriceringsniveau in overeenstemming met haar eigen wet- en regelgeving. Het dient in elk geval steeds duidelijk te zijn wie de partij van herkomst is.

De ontvangende partij waarborgt dat het rubriceringsniveau van de uit hoofde van dit Verdrag ontvangen gerubriceerde gegevens niet wordt gewijzigd of ingetrokken zonder de schriftelijke toestemming van de partij van herkomst.

De verstrekkende partij stelt de ontvangende partij op de hoogte van elke verandering van het rubriceringsniveau van de verstrekte gerubriceerde gegevens.

De ontvangende partij waarborgt dat de gerubriceerde gegevens niet bekend worden gemaakt of vrijgegeven aan een derde zonder de voorafgaande schriftelijke toestemming van de partij van herkomst en in overeenstemming met de voorwaarden die deze daar eventueel aan heeft verbonden.

De ontvangende partij waarborgt dat gerubriceerde gegevens uitsluitend worden gebruikt voor het doel waarvoor zij zijn verstrekt en in overeenstemming met de eisen voor gebruik van de partij van herkomst. De ontvangende partij geeft met name geen gerubriceerde gegevens die van de verstrekkende partij zijn ontvangen vrij aan een opdrachtnemer of een rechtspersoon zonder de voorafgaande schriftelijke toestemming van de partij van herkomst.

Toegang tot gerubriceerde gegevens wordt uitsluitend verleend aan de natuurlijke personen die van de gegevens op de hoogte moeten zijn (Need to know), zijn ingelicht over hun verantwoordelijkheden voor de beveiliging van gerubriceerde gegevens en deze schriftelijk hebben bevestigd, in overeenstemming met de nationale wet- en regelgeving van de ontvangende partij.

In aanvulling op de vereisten van het eerste lid van dit artikel wordt toegang tot gerubriceerde gegevens op niveau RISERVATISSIMO / Stg. CONFIDENTIEEL en hoger uitsluitend verleend aan de natuurlijke personen die een veiligheidsmachtiging personeel hebben op ten minste het overeenkomstige niveau of die anderszins gemachtigd zijn om toegang te krijgen tot gerubriceerde gegevens uit hoofde van hun functie, in overeenstemming met de nationale wet- en regelgeving van de ontvangende partij.

Indien een partij, een opdrachtnemer of rechtspersoon onder haar rechtsmacht voorstelt een gerubriceerd contract op niveau RISERVATISSIMO / Stg. CONFIDENTIEEL of hoger, zoals vermeld in artikel 4 van dit Verdrag, te plaatsen bij een opdrachtnemer onder de rechtsmacht van de andere partij, dient zij eerst de schriftelijke bevestiging te verkrijgen van de bevoegde beveiligingsautoriteit van deze partij dat aan de opdrachtnemer een veiligheidsmachtiging bedrijfslocatie is toegekend op het juiste rubriceringsniveau.

Voor gerubriceerde contracten met het rubriceringsniveau dat overeenkomt met RISERVATO / DEPARTEMENTAAL VERTROUWELIJK kan een veiligheidsmachtiging bedrijfslocatie nodig zijn indien dit verplicht is volgens de nationale wet- en regelgeving van de partij onder wier rechtsmacht de opdrachtnemer zijn activiteiten uitvoert. In het geval een veiligheidsmachtiging bedrijfslocatie vereist is ingevolge de nationale wet- en regelgeving van een partij, legt een dergelijke vereiste voor een veiligheidsmachtiging bedrijfslocatie de andere partij geen aanvullende verplichtingen op dan die welke in haar eigen nationale wet- en regelgeving zijn vastgesteld.

Niettegenstaande het tweede lid, initieert de bevoegde beveiligingsautoriteit van de Italiaanse partij op verzoek van de bevoegde beveiligingsautoriteit van de Nederlandse partij de procedure voor het verlenen van een veiligheidsmachtiging bedrijfslocatie aan opdrachtnemers die mogelijk toegang hebben tot gerubriceerde gegevens op DEPARTEMENTAAL VERTROUWELIJK-niveau in het kader van gerubriceerde contracten op militair gebied. De bevoegde beveiligingsautoriteit van de Nederlandse partij wordt in kennis gesteld van de uitkomsten van deze procedure.

Op verzoek deelt de bevoegde beveiligingsautoriteit van de ontvangende partij de bevoegde beveiligingsautoriteit van de verstrekkende partij mee of een opdrachtnemer die onder haar rechtsmacht valt en deelneemt aan een gerubriceerd contract of aan precontractuele onderhandelingen over een gerubriceerd contract, een veiligheidsmachtiging bedrijfslocatie heeft gekregen op het vereiste rubriceringsniveau. Indien de opdrachtnemer niet, op dat moment, over een veiligheidsmachtiging bedrijfslocatie beschikt, of de veiligheidsmachtiging bedrijfslocatie van een lager niveau is dan vereist, stelt de bevoegde beveiligingsautoriteit van de ontvangende partij de bevoegde beveiligingsautoriteit van de verstrekkende partij van dat feit in kennis.

De partij onder wier rechtsmacht een gerubriceerd contract dient te worden uitgevoerd waarborgt dat:

In aanvulling op de vereisten van het vijfde lid van dit artikel, waarborgt de bevoegde beveiligingsautoriteit onder wier rechtsmacht de opdrachtnemer valt, bij gerubriceerde contracten met beveiligingsniveau RISERVATISSIMO / Stg. CONFIDENTIEEL of hoger, dat deze, alvorens toegang te krijgen tot dergelijke gerubriceerde gegevens, een veiligheidsmachtiging bedrijfslocatie bezit met het overeenkomstige rubriceringsniveau teneinde de gerubriceerde gegevens te beveiligen en dat de natuurlijke personen die toegang dienen te krijgen tot gerubriceerde gegevens, een veiligheidsmachtiging personeel met ten minste het overeenkomstige rubriceringsniveau hebben.

Elk gerubriceerd contract bevat bepalingen inzake beveiliging die verwijzen naar:

Indien een gerubriceerd contract wordt toegekend, stuurt de partij, via haar bevoegde beveiligingsautoriteit, de opdrachtnemer of de rechtspersoon, een kopie van de beveiligingsvereisten naar de bevoegde beveiligingsautoriteit van de ontvangende partij, om het toezicht op de beveiliging op het gerubriceerde contract te vergemakkelijken.

De procedure voor de goedkeuring van bezoeken die samenhangen met activiteiten onder een gerubriceerd contract door personeel onder de rechtsmacht van een partij op de locatie van de andere partij of van een opdrachtnemer of rechtspersoon onder haar rechtsmacht dient in overeenstemming met artikel 8 van dit Verdrag te zijn.

Bezoeken waarbij toegang tot gerubriceerde gegevens op niveau RISERVATISSIMO / Stg. CONFIDENTIEEL of hoger vereist is, dienen vooraf schriftelijk te worden goedgekeurd door de bevoegde beveiligingsautoriteit van de als gastheer optredende partij, tenzij anderszins gezamenlijk overeengekomen door de bevoegde beveiligingsautoriteiten. Deze goedkeuring wordt uitsluitend verleend aan de natuurlijke personen die van de gegevens op de hoogte moeten zijn (Need to know) en die een veiligheidsmachtiging personeel hebben op ten minste het overeenkomstige niveau of die anderszins gemachtigd zijn om toegang te krijgen tot gerubriceerde gegevens uit hoofde van hun functie, in overeenstemming met de nationale wet- en regelgeving van de ontvangende partij.

Bezoeken aan locaties onder de rechtsmacht van de Italiaanse partij waarbij toegang tot gerubriceerde gegevens nodig is op het niveau RISERVATO dienen vooraf schriftelijk te worden goedgekeurd door de bevoegde beveiligingsautoriteit van de Italiaanse partij.

De bezoekers dienen de aanvraag voor het bezoek ten minste twintig werkdagen vóór de beoogde datum van het bezoek in bij hun bevoegde beveiligingsautoriteit, die de aanvraag doorstuurt naar de bevoegde beveiligingsautoriteit van de andere partij. In dringende gevallen kunnen de bevoegde beveiligingsautoriteiten gezamenlijk een kortere termijn overeenkomen.

Een aanvraag voor een bezoek dient de volgende gegevens te bevatten:

De bevoegde beveiligingsautoriteit van de partij die als gastheer optreedt stelt de beveiligingsbeambten van de te bezoeken locatie in kennis van de gegevens van de natuurlijke personen van wie het bezoek is goedgekeurd.

De bevoegde beveiligingsautoriteiten kunnen een lijst overeenkomen van bezoekers die herhalingsbezoeken mogen afleggen gedurende een periode van niet langer dan twaalf maanden. De bevoegde beveiligingsautoriteiten komen nadere details van de herhalingsbezoeken overeen. Verzoeken voor herhalingsbezoeken dienen in overeenstemming met het derde lid van dit artikel te worden ingediend. Wanneer de lijst eenmaal is goedgekeurd, mogen bezoeken rechtstreeks geregeld worden tussen de betrokken bedrijfslocaties.

Gerubriceerde gegevens die aan een bezoeker worden verstrekt of door deze worden verkregen, worden behandeld in overeenstemming met de bepalingen van dit Verdrag.

De partijen waarborgen, in overeenstemming met hun nationale wet- en regelgeving, de beveiliging van de persoonsgegevens van de individuen die een bezoek willen brengen waarbij toegang tot gerubriceerde gegevens nodig is. Deze persoonsgegevens worden niet gebruikt voor enig ander doel dan het besluit over de aanvraag voor het bezoek.

Gerubriceerde gegevens worden overgebracht in overeenstemming met de nationale wet- en regelgeving van de verstrekkende partij.

Gerubriceerde gegevens op niveau RISERVATISSIMO / Stg. CONFIDENTIEEL en hoger worden overgebracht via overheidskanalen of via andere kanalen zoals anderszins overeengekomen door de bevoegde beveiligingsautoriteiten van de partijen.

Gerubriceerde gegevens op niveau SEGRETISSIMO / Stg. ZEER GEHEIM dienen alleen via diplomatieke of militaire kanalen te worden verzonden in overeenstemming met de nationale wet- en regelgeving.

In het geval van het vervoer van een aanzienlijk volume aan gerubriceerde gegevens, worden de vervoersprocedures gezamenlijk overeengekomen en per geval geëvalueerd door de bevoegde beveiligingsautoriteiten van de partijen.

De elektronische overbrenging van gerubriceerde gegevens mag alleen geschieden met gebruikmaking van cryptografische middelen in overeenstemming met procedures die door de bevoegde beveiligingsautoriteiten wederzijds dienen te worden goedgekeurd.

Reproducties en vertalingen van gerubriceerde gegevens krijgen dezelfde markering en beveiliging als de oorspronkelijke gerubriceerde gegevens.

Reproducties en vertalingen worden beperkt tot het minimumaantal dat nodig is voor gebruik uit hoofde van dit Verdrag.

Vertalingen worden voorzien van een passende annotatie in de taal waarin zij zijn gesteld met de aanduiding dat zij gerubriceerde gegevens bevatten van de partij van herkomst.

Gerubriceerde gegevens met het rubriceringsniveau dat overeenkomt met „TOP SECRET” zoals vermeld in artikel 4 van dit Verdrag worden niet gereproduceerd of vertaald zonder voorafgaande schriftelijke toestemming van de partij van herkomst.

Gerubriceerde gegevens tot en met rubriceringsniveau RISERVATISSIMO / Stg. CONFIDENTIEEL zoals vermeld in artikel 4 van dit Verdrag worden vernietigd nadat de ontvangende partij ze niet meer nodig acht.

Gerubriceerde gegevens met het rubriceringsniveau SEGRETO / Stg. GEHEIM en hoger zoals vermeld in artikel 4 van dit Verdrag worden uitsluitend vernietigd met de voorafgaande schriftelijke toestemming van de partij van herkomst. De ontvangende partij stelt de verstrekkende partij in kennis van een dergelijke vernietiging.

Gerubriceerde gegevens met niveau SEGRETISSIMO / Stg. ZEER GEHEIM worden standaard geretourneerd aan de verstrekkende partij nadat de ontvangende partij ze niet meer nodig acht.

Indien een crisissituatie het een ontvangende partij onmogelijk maakt de uit hoofde van dit Verdrag verstrekte gerubriceerde gegevens te beveiligen, dienen de gerubriceerde gegevens onmiddellijk vernietigd te worden. De ontvangende partij stelt, via haar bevoegde beveiligingsautoriteit, de bevoegde beveiligingsautoriteit van de verstrekkende partij zo spoedig mogelijk schriftelijk in kennis van de vernietiging van deze gerubriceerde gegevens.

Elke partij waarborgt dat passende maatregelen worden genomen voor de beveiliging van de gerubriceerde gegevens die worden verwerkt, opgeslagen en overgebracht door communicatie- en informatiesystemen, in overeenstemming met haar nationale wet- en regelgeving.

De partijen erkennen wederzijds apparatuur en mechanismen met betrekking tot communicatie- en informatiesystemen die worden gebruikt voor de verwerking van gerubriceerde gegevens, zoals goedgekeurd krachtens hun toepasselijke nationale wet- en regelgeving.

De bevoegde beveiligingsautoriteiten stellen elkaar, op verzoek, in kennis van veranderingen in hun nationale wet- en regelgeving, beleid en praktijken met betrekking tot de beveiliging van gerubriceerde gegevens.

Op verzoek van de bevoegde beveiligingsautoriteit van de ene partij bevestigt de bevoegde beveiligingsautoriteit van de andere partij schriftelijk dat er een geldige veiligheidsmachtiging personeel of veiligheidsmachtiging bedrijfslocatie is afgegeven.

De bevoegde beveiligingsautoriteiten van de partijen erkennen de veiligheidsmachtigingen personeel en veiligheidsmachtigingen bedrijfslocatie die overeenkomstig de nationale wet- en regelgeving van de andere partij en binnen de reikwijdte van dit Verdrag zijn afgegeven.

De bevoegde beveiligingsautoriteiten verlenen elkaar, op verzoek en in overeenstemmingmet hun nationale wet- en regelgeving, bijstand bij het uitvoeren van onderzoeken in verband met de afgifte van een veiligheidsmachtiging bedrijfslocatie en veiligheidsmachtiging personeel.

De bevoegde beveiligingsautoriteiten stellen elkaar onverwijld schriftelijk in kennis van veranderingen in erkende veiligheidsmachtigingen personeel en veiligheidsmachtigingen bedrijfslocatie waarvoor een bevestiging is verstrekt.

De bevoegde beveiligingsautoriteiten van de partijen waarborgen dat een FOCI-onderzoek (Foreign Ownership, Control and Influence) wordt uitgevoerd tijdens de respectieve procedures voor de afgifte van veiligheidsmachtigingen bedrijfslocatie.

Een bevoegde beveiligingsautoriteit kan verzoeken dat de bevoegde beveiligingsautoriteit van de andere partij beveiligingsbeoordelingsbezoeken aflegt in particuliere of openbare faciliteiten onder de rechtsmacht van laatstgenoemde partij die op grond van dit Verdrag verstrekte of gegenereerde gerubriceerde gegevens behandelen, om ervoor te zorgen dat beste praktijken worden toegepast en beveiligingsnormen worden nageleefd. Dergelijke beveiligingsbeoordelingsbezoeken worden vooraf gezamenlijk overeengekomen door de bevoegde beveiligingsautoriteiten.

Met het oog op de verwezenlijking van de doelstellingen van dit Verdrag kunnen de bevoegde beveiligingsautoriteiten elkaar bezoeken, mits vooraf een passende kennisgeving wordt gedaan.

De bevoegde beveiligingsautoriteiten stellen elkaar onverwijld in kennis van uitzonderlijke veiligheidsrisico's die de door de partijen vrijgegeven gerubriceerde gegevens in gevaar kunnen brengen.

Bij de samenwerking uit hoofde van dit Verdrag wordt gebruikgemaakt van de Engelse taal.

Indien een inbreuk op de beveiliging met betrekking tot de gerubriceerde gegevens van de verstrekkende partij wordt vermoed of vastgesteld door de ontvangende partij, stelt de bevoegde beveiligingsautoriteit van de ontvangende partij de bevoegde beveiligingsautoriteit van de verstrekkende partij daarvan zo spoedig mogelijk schriftelijk in kennis. De kennisgeving dient voldoende gedetailleerde informatie te bevatten om de partij van herkomst in staat te stellen de consequenties en omstandigheden van de vermoede of vastgestelde inbreuk te beoordelen.

De ontvangende partij onderzoekt feitelijke of vermoedelijke inbreuken op de beveiliging onmiddellijk. De bevoegde autoriteit van de verstrekkende partij verleent, indien vereist, medewerking aan het onderzoek. De partij van herkomst wordt in kennis gesteld van de uitkomst van de procedure en van de maatregelen die worden getroffen in verband met de inbreuk op de beveiliging.

De bevoegde beveiligingsautoriteit van de ontvangende partij neemt passende maatregelen in overeenstemming met haar nationale wet- en regelgeving om de gevolgen van het beveiligingsincident te beperken en om herhaling ervan te voorkomen. De bevoegde beveiligingsautoriteit van de verstrekkende partij wordt in kennis gesteld van de uitkomsten van het onderzoek en de eventuele getroffen maatregelen.

Indien zich buiten de rechtsmacht van een van de partijen een inbreuk op de beveiliging voordoet wanneer gerubriceerde gegevens van de ene partij naar de andere partij wordt verzonden via het grondgebied van een derde of van de ene partij naar een derde met voorafgaande schriftelijke toestemming van de verstrekkende partij, neemt de bevoegde beveiligingsautoriteit van de verzendende partij, voor zover mogelijk, onverwijld de in het eerste lid van dit artikel bedoelde maatregelen.

Dit Verdrag wordt gesloten voor onbepaalde tijd. Elke partij stelt de andere partij langs diplomatieke weg in kennis van de voltooiing van haar nationale procedures die nodig zijn voor de inwerkingtreding van dit Verdrag. Dit Verdrag treedt in werking op de eerste dag van de tweede maand na de datum van ontvangst van de laatste van de twee kennisgevingen.

Ten aanzien van het Koninkrijk der Nederlanden is dit Verdrag van toepassing op het Europese deel van Nederland en op het Caribische deel van Nederland (de eilanden Bonaire, Sint Eustatius en Saba).

Dit Verdrag, met inbegrip van de Bijlage daarbij, kan met wederzijdse instemming van de partijen schriftelijk worden gewijzigd. Elke partij kan op elk moment langs diplomatieke weg wijzigingen van dit Verdrag voorstellen. Dergelijke wijzigingen treden in werking onder de voorwaarden vervat in het eerste lid van dit artikel, met uitzondering van een wijziging van de Bijlage, welke in werking treedt op een door de partijen overeen te komen datum.

Elk van de partijen kan dit Verdrag te allen tijde beëindigen door de andere partij daarvan langs diplomatieke weg schriftelijk kennis te geven. In dat geval eindigt het Verdrag zes maanden na ontvangst van deze kennisgeving.

In geval van beëindiging van dit Verdrag blijven alle uit hoofde van dit Verdrag uitgewisselde, vrijgegeven of gegenereerde gerubriceerde gegevens beveiligd in overeenstemming met de bepalingen van dit Verdrag voor de beëindiging ervan, zolang deze gerubriceerde gegevens gerubriceerd blijven. Op verzoek worden gerubriceerde gegevens geretourneerd aan de verstrekkende partij in overeenstemming met de bepalingen van dit Verdrag.