Verdrag tussen de Regering van het Koninkrijk der Nederlanden en de Regering van de Italiaanse Republiek inzake de uitwisseling en wederzijdse beveiliging van gerubriceerde gegevens

Dit Verdrag heeft ten doel de beveiliging te waarborgen van gerubriceerde gegevens die ofwel worden uitgewisseld tussen de partijen, tussen een partij en een opdrachtnemer onder de rechtsmacht van de andere partij, of tussen opdrachtnemers onder de rechtsmacht van de respectieve partijen, of die worden gegenereerd door de partijen, opdrachtnemers of rechtspersonen binnen de reikwijdte van dit Verdrag. In dit Verdrag worden de beveiligingsprocedures en regelingen voor deze beveiliging vastgelegd.

De bepalingen van dit Verdrag zijn van toepassing op elke overeenkomst, regeling, contract of andere vorm van samenwerking waarbij gerubriceerde gegevens betrokken zijn, die of dat worden gesloten of uitgevoerd tussen de partijen, opdrachtnemers of rechtspersonen onder hun rechtsmacht.

De partijen nemen alle passende maatregelen krachtens hun nationale wet- en regelgeving om de beveiliging van gerubriceerde gegevens in overeenstemming met dit Verdrag te waarborgen.

Dit Verdrag vormt geen basis om de partijen ertoe te verplichten gerubriceerde gegevens te verstrekken of uit te wisselen.

De bevoegde beveiligingsautoriteiten van de partijen staan vermeld in de Bijlage bij dit Verdrag.

De bevoegde beveiligingsautoriteiten voorzien elkaar van de officiële contactgegevens en stellen elkaar tijdig in kennis van eventuele veranderingen daarvan.

De bevoegde beveiligingsautoriteiten stellen elkaar in kennis van enige andere beveiligingsautoriteit die verantwoordelijk is voor de implementatie van dit Verdrag.

De volgende rubriceringsniveaus van de partijen komen overeen en corresponderen met de rubriceringsniveaus die in de nationale wet- en regelgeving van de partijen staan vermeld. De Engelse vertaling maakt geen deel uit van de nationale wet- en regelgeving van de partijen en dient niet gebruikt te worden om gerubriceerde gegevens aan te duiden.

Gerubriceerde gegevens die gezamenlijk worden aangemaakt door de partijen krijgen een rubriceringsniveau toegekend dat gezamenlijk wordt overeengekomen door de partijen.

De partij van herkomst kan de gerubriceerde gegevens tevens voorzien, in het Engels, van vereisten voor de omgang ermee, om eventuele beperkingen te stellen aan het gebruik, de bekendmaking, vrijgave en toegang door de ontvangende partij.

De partijen kennen aan gerubriceerde gegevens die uit hoofde van dit Verdrag worden uitgewisseld of gegenereerd ten minste dezelfde beveiliging toe als aan hun nationale gerubriceerde gegevens met een overeenkomstig rubriceringsniveau.

De verstrekkende partij voorziet de gerubriceerde gegevens van de juiste rubriceringsmarkering, in overeenstemming met haar nationale wet- en regelgeving. De ontvangende partij kan een indicatie toevoegen om te waarborgen dat de gerubriceerde gegevens die van de verstrekkende partij worden ontvangen worden beveiligd op het overeenkomstige rubriceringsniveau in overeenstemming met haar eigen wet- en regelgeving. Het dient in elk geval steeds duidelijk te zijn wie de partij van herkomst is.

De ontvangende partij waarborgt dat het rubriceringsniveau van de uit hoofde van dit Verdrag ontvangen gerubriceerde gegevens niet wordt gewijzigd of ingetrokken zonder de schriftelijke toestemming van de partij van herkomst.

De verstrekkende partij stelt de ontvangende partij op de hoogte van elke verandering van het rubriceringsniveau van de verstrekte gerubriceerde gegevens.

De ontvangende partij waarborgt dat de gerubriceerde gegevens niet bekend worden gemaakt of vrijgegeven aan een derde zonder de voorafgaande schriftelijke toestemming van de partij van herkomst en in overeenstemming met de voorwaarden die deze daar eventueel aan heeft verbonden.

De ontvangende partij waarborgt dat gerubriceerde gegevens uitsluitend worden gebruikt voor het doel waarvoor zij zijn verstrekt en in overeenstemming met de eisen voor gebruik van de partij van herkomst. De ontvangende partij geeft met name geen gerubriceerde gegevens die van de verstrekkende partij zijn ontvangen vrij aan een opdrachtnemer of een rechtspersoon zonder de voorafgaande schriftelijke toestemming van de partij van herkomst.

Toegang tot gerubriceerde gegevens wordt uitsluitend verleend aan de natuurlijke personen die van de gegevens op de hoogte moeten zijn (Need to know), zijn ingelicht over hun verantwoordelijkheden voor de beveiliging van gerubriceerde gegevens en deze schriftelijk hebben bevestigd, in overeenstemming met de nationale wet- en regelgeving van de ontvangende partij.

In aanvulling op de vereisten van het eerste lid van dit artikel wordt toegang tot gerubriceerde gegevens op niveau RISERVATISSIMO / Stg. CONFIDENTIEEL en hoger uitsluitend verleend aan de natuurlijke personen die een veiligheidsmachtiging personeel hebben op ten minste het overeenkomstige niveau of die anderszins gemachtigd zijn om toegang te krijgen tot gerubriceerde gegevens uit hoofde van hun functie, in overeenstemming met de nationale wet- en regelgeving van de ontvangende partij.

Indien een partij, een opdrachtnemer of rechtspersoon onder haar rechtsmacht voorstelt een gerubriceerd contract op niveau RISERVATISSIMO / Stg. CONFIDENTIEEL of hoger, zoals vermeld in artikel 4 van dit Verdrag, te plaatsen bij een opdrachtnemer onder de rechtsmacht van de andere partij, dient zij eerst de schriftelijke bevestiging te verkrijgen van de bevoegde beveiligingsautoriteit van deze partij dat aan de opdrachtnemer een veiligheidsmachtiging bedrijfslocatie is toegekend op het juiste rubriceringsniveau.

Voor gerubriceerde contracten met het rubriceringsniveau dat overeenkomt met RISERVATO / DEPARTEMENTAAL VERTROUWELIJK kan een veiligheidsmachtiging bedrijfslocatie nodig zijn indien dit verplicht is volgens de nationale wet- en regelgeving van de partij onder wier rechtsmacht de opdrachtnemer zijn activiteiten uitvoert. In het geval een veiligheidsmachtiging bedrijfslocatie vereist is ingevolge de nationale wet- en regelgeving van een partij, legt een dergelijke vereiste voor een veiligheidsmachtiging bedrijfslocatie de andere partij geen aanvullende verplichtingen op dan die welke in haar eigen nationale wet- en regelgeving zijn vastgesteld.

Niettegenstaande het tweede lid, initieert de bevoegde beveiligingsautoriteit van de Italiaanse partij op verzoek van de bevoegde beveiligingsautoriteit van de Nederlandse partij de procedure voor het verlenen van een veiligheidsmachtiging bedrijfslocatie aan opdrachtnemers die mogelijk toegang hebben tot gerubriceerde gegevens op DEPARTEMENTAAL VERTROUWELIJK-niveau in het kader van gerubriceerde contracten op militair gebied. De bevoegde beveiligingsautoriteit van de Nederlandse partij wordt in kennis gesteld van de uitkomsten van deze procedure.

Op verzoek deelt de bevoegde beveiligingsautoriteit van de ontvangende partij de bevoegde beveiligingsautoriteit van de verstrekkende partij mee of een opdrachtnemer die onder haar rechtsmacht valt en deelneemt aan een gerubriceerd contract of aan precontractuele onderhandelingen over een gerubriceerd contract, een veiligheidsmachtiging bedrijfslocatie heeft gekregen op het vereiste rubriceringsniveau. Indien de opdrachtnemer niet, op dat moment, over een veiligheidsmachtiging bedrijfslocatie beschikt, of de veiligheidsmachtiging bedrijfslocatie van een lager niveau is dan vereist, stelt de bevoegde beveiligingsautoriteit van de ontvangende partij de bevoegde beveiligingsautoriteit van de verstrekkende partij van dat feit in kennis.

De partij onder wier rechtsmacht een gerubriceerd contract dient te worden uitgevoerd waarborgt dat:

In aanvulling op de vereisten van het vijfde lid van dit artikel, waarborgt de bevoegde beveiligingsautoriteit onder wier rechtsmacht de opdrachtnemer valt, bij gerubriceerde contracten met beveiligingsniveau RISERVATISSIMO / Stg. CONFIDENTIEEL of hoger, dat deze, alvorens toegang te krijgen tot dergelijke gerubriceerde gegevens, een veiligheidsmachtiging bedrijfslocatie bezit met het overeenkomstige rubriceringsniveau teneinde de gerubriceerde gegevens te beveiligen en dat de natuurlijke personen die toegang dienen te krijgen tot gerubriceerde gegevens, een veiligheidsmachtiging personeel met ten minste het overeenkomstige rubriceringsniveau hebben.

Elk gerubriceerd contract bevat bepalingen inzake beveiliging die verwijzen naar:

Indien een gerubriceerd contract wordt toegekend, stuurt de partij, via haar bevoegde beveiligingsautoriteit, de opdrachtnemer of de rechtspersoon, een kopie van de beveiligingsvereisten naar de bevoegde beveiligingsautoriteit van de ontvangende partij, om het toezicht op de beveiliging op het gerubriceerde contract te vergemakkelijken.