[OFICINA NACIONAL DE SEGURIDAD] {VISITAS CLASIFICADAS}

OFICINA NACIONAL DE SEGURIDAD

OR-ASIC-02-01.01

ORIENTACIONES PARA LA REMISIÓN DE SOLICITUDES DE VISITA CLASIFICADA

ÍNDICE 1.

INTRODUCCIÓN ......................................................................................................... 3 1.1. GENERALIDADES ...................................................................................................... 3

2.

OBJETO ......................................................................................................................... 3

3.

ALCANCE ...................................................................................................................... 4

4.

CONDICIONES PARA SOLICITAR UNA VISITA CLASIFICADA .................... 4

5.

CLASES DE SOLICITUDES DE VISITA CLASIFICADA ..................................... 5

5.1. POR LA ZONA GEOGRÁFICA ...................................................................................... 5 5.1.1. VISITAS NACIONALES ......................................................................................... 5 5.1.2. VISITAS INTERNACIONALES ............................................................................. 5 5.2. POR LA CLASIFICACIÓN DE SEGURIDAD DE LA INFORMACIÓN QUE SE VA A ACCEDER ................................................................................................................... 5 5.2.1. TIPO .......................................................................................................................... 5 5.2.2. GRADO .................................................................................................................... 6 5.2.3. ESPECIALIDAD ...................................................................................................... 7 5.3. POR TIPO DE PROCEDIMIENTO ................................................................................. 7 5.3.1. ORDINARIO ............................................................................................................ 7 5.3.2. ABREVIADO ........................................................................................................... 7 5.4. POR LA FRECUENCIA DE LAS VISITAS ....................................................................... 8 5.4.1. SIMPLE .................................................................................................................... 8 5.4.2. RECURRENTE ........................................................................................................ 9 5.4.3. EXTENDIDA.......................................................................................................... 10 5.5. EXCEPCIONES ......................................................................................................... 10 5.5.1. EMERGENCIA ...................................................................................................... 10 5.5.2. MODIFICACIONES .............................................................................................. 10 6.

REQUISITOS NECESARIOS PARA REALIZAR LA VISITA CLASIFICADA 11

7.

PROCEDIMIENTO A SEGUIR PARA REALIZAR LA SOLICITUD ................ 11 7.1. VISITAS CLASIFICADAS POR PARTE DE PERSONAL DE UNA INSTALACIÓN ESPAÑOLA A UNA INSTALACIÓN EXTRANJERA. ........................................................................ 12 7.2. VISITAS CLASIFICADAS POR PARTE DE PERSONAL EXTRANJERO A UNA INSTALACIÓN ESPAÑOLA ........................................................................................ 13 7.3. VISITAS CLASIFICADAS QUE TENGAN COMO ORIGEN O DESTINO UNA INSTALACIÓN ESPAÑOLA DENTRO DEL ÁMBITO DE LOS PROGRAMAS Y CONTRATOS CLASIFICADOS DEL MINISTERIO DE DEFENSA. ...................................................... 14

8.

TRANSPORTE DE INFORMACIÓN CLASIFICADA EN MANO ...................... 15

ANEXO I: FORMULARIO DE SOLICITUD DE VISITA (INGLÉS) ......................... 16 CARACTERÍSTICAS BÁSICAS DEL FORMULARIO ........................................................... 16

2

1. INTRODUCCIÓN 1.1. Generalidades En el mundo actual, son contados los programas y contratos que pueden ser desarrollados enteramente por una empresa de un solo país. Por este motivo es habitual el intercambio de visitas de expertos entre empresas y organismos tanto a nivel nacional como internacional.

Los programas y contratos clasificados 1 no son extraños a dicho fenómeno. Es por ello que, por un lado, se han establecido diferencias entre las visitas no clasificadas y las visitas clasificadas, y, por otro, se han desarrollado ciertos procedimientos para éstas últimas. ¿Qué es una visita clasificada? Tal y como se establece la Norma de la Autoridad Nacional para la Protección de la Información Clasificada Nº 6, en adelante NS/06, se consideran visitas clasificadas todas aquellas visitas que son realizadas por “personas que, sin tener relación de dependencia directa con el contratista, acceden física y circunstancialmente por temas profesionales a la información clasificada en las instalaciones del mismo”. Así pues, no todas las visitas que se realicen dentro de un programa o contrato clasificado serán consideradas como clasificadas. Sólo lo serán aquellas en las que los visitantes vayan a tener acceso dicha clase de información.

Si bien más adelante se desarrollará con más detalle esta cuestión, conviene destacar, de entre todas las visitas clasificadas, aquellas que se producen en el ámbito internacional. Ello se debe a la complejidad que supone que haya más de una autoridad nacional competente de seguridad 2 responsable de garantizar la seguridad de la información clasificada a la que se accede. ¿Por qué es necesaria la participación de una autoridad nacional competente de seguridad en la gestión de la solicitud de visitas internacionales clasificadas? Su participación resulta esencial puesto que sólo ellas pueden certificarse mutuamente que los visitantes y las instalaciones que se van a visitar cuentan con las habilitaciones necesarias para que se produzca una visita clasificada.

Tomando en consideración lo arriba señalado, y sin olvidar la existencia de visitas nacionales clasificadas, estas Orientaciones se centrarán en el procedimiento de solicitud de visitas clasificadas que se realicen a nivel internacional.

2. OBJETO Estas Orientaciones se han desarrollado para guiar la actuación de los Jefes de Seguridad 3 tanto de las empresas como de los órganos de control y de todo el personal que deba de acceder a información clasificada en instalaciones de terceros.

1

Ver apartado 2 de la NS/06. Normas de la Autoridad Nacional para la Protección de la Información Clasificada.

2

En España es la Autoridad Nacional para la Protección de la Información Clasificada (a través de su órgano de trabajo, la Oficina Nacional de Seguridad) el organismo responsable de aprobar las visitas clasificadas. No obstante, podrá delegar dicha responsabilidad en otro organismo según lo establecido en la NS/06.

3 Citados en la NS/06. Normas de la Autoridad Nacional para la Protección de la Información Clasificada.

3

El presente texto servirá de referencia fundamental para la confección de los correspondientes formularios de solicitudes de visita. Así mismo, podrá ser empleado también por los jefes de seguridad arriba señalados para cumplir con las funciones de formación que tienen asignadas por las Normas de la Autoridad Nacional para la Protección de la Información Clasificada.

3. ALCANCE Las visitas clasificadas que en estas Orientaciones se detallan se encuentran circunscritas al ámbito de la seguridad industrial. Por lo tanto, quedan fuera aquellas realizadas por personal de un organismo público u organización internacional que acceda a otro organismo público u organización internacional.

4. CONDICIONES PARA SOLICITAR UNA VISITA CLASIFICADA La NS/06 establece las condiciones básicas para que se pueda llevar a cabo la visita clasificada de un español a una instalación extranjera y de un extranjero a una instalación española. Entre dichas condiciones cabe destacar las siguientes: -

La visita deberá ser autorizada previamente por parte de los Jefes de Seguridad así como por las autoridades nacionales correspondientes 4 del visitante y de las instalaciones a ser visitadas.

-

La visita deberá estar justificada. El visitante ha de indicar, en el correspondiente formulario de solicitud de visita clasificada, las razones por las que estima necesario acceder a determinada información clasificada en las instalaciones a visitar o bien acceder a ciertas Zonas de Acceso Restringido.

-

En caso de que así lo exija la normativa aplicable al caso, la empresa visitada deberá contar con la correspondiente Habilitación de Seguridad de Establecimiento (HSES) dado que es en dichas instalaciones en donde el visitante accederá a la información clasificada.

-

Y, por último, el visitante deberá: o Ser nacional o residir en uno de los países que gestionan la visita, o Ser empleado de la empresa en nombre de la que realiza la visita, y o Cumplir con las condiciones necesarias para poder acceder a información clasificada de dicho tipo, esto es: 

Contar con la correspondiente Habilitación Personal de Seguridad (HPS) para acceder a información clasificada CONFIDENCIAL (o

4

En España es la ANS (a través de su órgano de trabajo, la ONS) el organismo responsable de aprobar las visitas clasificadas aunque podrá delegar dicha responsabilidad en otro organismo .

4

equivalente) o de grado superior, 

Tener necesidad de conocer dicha información, y



Haber sido instruido convenientemente en el manejo de la misma.

El incumplimiento de cualquiera de estas condiciones así como del procedimiento establecido para comunicar la visita clasificada supondrá la NO autorización de la misma.

5. CLASES DE SOLICITUDES DE VISITA CLASIFICADA 5.1. Por la zona geográfica 5.1.1. VISITAS NACIONALES Se entiende por visita clasificada nacional aquella que se produce en una instalación acreditada en España siendo los visitantes procedentes de otra instalación española acreditada.

Tal y como se indica en la NS/06, bastará con que el Jefe de Seguridad de la instalación del visitante realice una comunicación de visita al Jefe de Seguridad de la instalación anfitriona.

La comunicación de visita deberá ser remitida con una antelación de cinco (5) días laborales y contener la misma información que la recogida en el modelo / formulario de comunicación de visita.

5.1.2. VISITAS INTERNACIONALES Se entiende por visita clasificada internacional aquella que se produce en una instalación acreditada en España siendo los visitantes procedentes de una instalación acreditada de un país extranjero, o bien la que se produce en una instalación acreditada en un país extranjero siendo los visitantes procedentes de una instalación acreditada en España.

5.2. Por la clasificación de seguridad de la información que se va a acceder 5.2.1. TIPO El visitante deberá señalar en el correspondiente formulario de solicitud de visita el tipo información clasificada para la que pide acceso.

Dicha información puede haber sido clasificada por el país en donde se va a acceder a la información clasificada, por otro país o por una organización internacional. En estos dos últimos casos, antes de iniciar los trámites para la visita clasificada, se deberá contar con la autorización correspondiente proveniente de las autoridades responsables de la misma, la cual habitualmente se encuentra ya recogida de forma genérica en las Instrucciones de Seguridad del Programa, en las cláusulas de seguridad del contrato o, incluso, en los Memorandos de Entendimiento que se realizan con ocasión del programa o contrato clasificado. En el primer 5

caso, será suficiente con la propia autorización de la visita clasificada por parte de la autoridad del país u organización internacional de la empresa o ente visitado.

El tipo de información clasificada normalmente aparece identificada en la marca de clasificación reflejada conjuntamente con el grado. Las guías de clasificación que suelen encontrarse anejas a las Instrucciones de Seguridad del Programa o a las cláusulas de seguridad de los contratos clasificados detallan los aspectos del programa o contrato que se encuentran clasificados señalando conjuntamente el tipo y el grado de dicha clasificación.

Ejemplo de marca de clasificación: NATO SECRET -

NATO: identifica el tipo de información señalando que el Originador 5 es la OTAN.

5.2.2. GRADO Otro de los aspectos que deberá indicar el solicitante de la visita es el grado de clasificación de la información para la que solicita acceso.

Ejemplo de marca de clasificación: NATO SECRET -

SECRET: identifica el grado de la información clasificada. En este caso, sería equivalente al grado RESERVADO en España.

Existen casos en los que resulta difícil de identificar el grado de clasificación de la información a la que se solicita acceso puesto que, como es lógico, para las marcas de clasificación se suele emplear el idioma propio del país que originó la información clasificada.

Ejemplo de marca de clasificación: STRENG GEHEIM -

STRENG GEHEIM es equivalente, según el Acuerdo Bilateral firmado entre Alemania y España para la Protección de la Información Clasificada, al SECRETO español.

Así pues, para facilitar la labor de manejo de los diversos grados de información clasificada, tanto en los Acuerdos Bilaterales y Multilaterales para la Protección de la Información Clasificada, como en las Instrucciones de Seguridad de los Programas y en las cláusulas de seguridad, se establecen tablas de equivalencias de los diversos tipos y grados de información clasificada existentes en dichos países.

5

Ver Glosario de las Normas de la Autoridad Nacional para la Protección de la Información Clasificada.

6

A continuación se muestra un modelo de tabla de equivalencias:

NATO

COSMIC TOP SECRET

NATO SECRET

NATO CONFIDENTIAL

NATO RESTRICTED

ESPAÑA

SECRETO

RESERVADO

CONFIDENCIAL

DIFUSIÓN LIMITADA

5.2.3. ESPECIALIDAD En caso de que la información cuente con alguna especialidad (en el caso de la OTAN existen las especialidades ATOMAL, CRYPTO o BOHEMIA) también se deberá señalar la misma en el formulario de solicitud de visita.

5.3. Por tipo de procedimiento 5.3.1. ORDINARIO Se trata del procedimiento más empleado para la gestión de solicitudes de visitas internacionales clasificadas. Este procedimiento implica a las Autoridades de Seguridad de los países de la instalación visitada y de los visitantes respectivamente y se describe con detalle en el apartado 7 de estas orientaciones.

5.3.2. ABREVIADO Este procedimiento será de aplicación para: a) toda la información clasificada de DIFUSIÓN LIMITADA o equivalente, y b) también, para la información clasificada de mayor grado, siempre que así: o esté establecido en las Instrucciones de Seguridad del Programa o las cláusulas de seguridad del contrato, y o lo permita la normativa de desarrollo o el Acuerdo Bilateral o Multilateral para la Protección de la Información Clasificada correspondiente.

La aplicación de este procedimiento de forma restrictiva a unos grados de clasificación y a unos ámbitos 6 o programas y contratos muy determinados se justifica por la existencia de una serie de garantías surgidas de la confianza, la capacidad técnica y los conocimientos 6

Este procedimiento se comenzó a aplicar dentro del ámbito del Acuerdo Marco para la Reestructuración de la Industria Europea de Defensa (en inglés EDIR-FA). Uno de los objetivos de este Acuerdo, firmado por 6 países (Alemania, España, Francia, Italia, Reino Unido y Suecia) es el de simplificar los procedimientos que se aplican entre dichos países para facilitar los intercambios de información clasificada entre las Partes del mismo o sus industrias de defensa de forma que estas puedan cooperar entre sí fomentando de esta forma dicho sector económico.

7

alcanzados dentro de dichos ámbitos o programas y contratos clasificados.

Las gestiones que se realizan dentro de este procedimiento resultan más simples que las empleadas en el procedimiento ordinario puesto que sólo se requiere la comunicación directa de las visitas entre los Jefes de Seguridad de la instalación del visitante y de la empresa a ser visitada.

7

JEFE SEGURIDAD EMPRESA/ ORGANISMO ESPAÑOL

JEFE SEGURIDAD EMPRESA/ ORGANISMO EXTRANJERO

VISITANTE

RESPONSABLE

La comunicación que le realice el Jefe de Seguridad del visitante al Jefe de Seguridad de la instalación visitada, deberá ser realizada por escrito (FAX, email, etc.) e incluir la misma información que la requerida en el formulario de solicitud de visita clasificada ordinaria.

Aunque se emplee este procedimiento para comunicar las visitas, las condiciones para que se pueda producir la visita clasificada (ver punto 4) así como las obligaciones y responsabilidades de los Jefes de Seguridad y de las autoridades competentes de seguridad seguirán siendo las mismas que en el caso del procedimiento ordinario.

Finalmente, existen diversas variantes de este procedimiento dependiendo de lo que se haya establecido en las Instrucciones de Seguridad del Programa o en las cláusulas de seguridad correspondientes. Por ejemplo, no es extraño que en dichos documentos se establezca un listado de empresas entre las cuales se autoriza el empleo de este procedimiento dejando el procedimiento ordinario para el resto de empresas que participan en el programa o contrato clasificado.

5.4. Por la frecuencia de las visitas 5.4.1. SIMPLE Las solicitudes de visitas clasificadas simples son las más habituales. Suelen corresponder a una necesidad puntual y restringida en el tiempo de acceder a información clasificada.

Se trata de visitas de corta duración que se realizan con un propósito determinado (reunión, inspección, reparación, etc.). Una vez finalizada la causa que justifica la visita, el visitante retornará a su empresa y no se prevé que se produzca una nueva visita a dichas 7

Sirva como modelo de ejemplo una visita de personal de una empresa u organismo español a una empresa u organismo en el extranjero

8

instalaciones a no ser que se produzca una nueva causa que la justifique.

Dependerá del ámbito en el que se produzcan y de lo que las Instrucciones de Seguridad del Programa o las cláusulas de seguridad establezcan para que se aplique o bien el procedimiento ordinario o bien el abreviado.

5.4.2. RECURRENTE Este tipo de visitas son comunes en aquellos programas y contratos en los que el producto o servicio se desarrolla u ofrece en diferentes instalaciones.

En estos casos es habitual que, por razones de coordinación o supervisión u otras que las empresas u organismos participantes de los mismos estimen convenientes, resulte necesario que el personal destinado en las mismas intercambie visitas entre sí de forma frecuente durante el desarrollo de dicho producto o servicio.

En estos casos, se recomienda el empleo de este procedimiento de visitas puesto que no sólo permite una mayor flexibilidad a la hora de gestionar las visitas de dicho personal (sin que ello suponga una merma en las condiciones de seguridad) sino que, además, acelera los trámites administrativos necesarios para la aprobación de las visitas.

Para tramitar una visita recurrente será necesario que los Jefes de Seguridad de las instalaciones que tengan personal al que se le pueda aplicar este procedimiento confeccionen una solicitud de visita. Dicha solicitud deberán de identificarla como “recurrente” en el apartado correspondiente.

A esta solicitud, deberán adjuntar una lista con los nombres y demás información necesaria de las personas que se van a acoger a este procedimiento. Posteriormente, la solicitud se tramitará siguiendo los pasos establecidos para las solicitudes de visita ordinarias.

Una vez aprobada la solicitud, todas las personas que aparezcan recogidas en la lista podrán realizar cuantas visitas clasificadas se estimen justificadas por parte de los Jefes de Seguridad de las instalaciones involucradas. Para ello sólo se será necesario que se remita al Jefe de Seguridad de la instalación anfitriona una comunicación similar a la que se emplea para el procedimiento abreviado.

Este procedimiento es válido sólo durante un (1) año desde la fecha de aprobación de la solicitud de la visita y entre las instalaciones que aparezcan señaladas en la misma por lo que la solicitud deberá ser revisada, anualmente, por parte de los Jefes de Seguridad de las instalaciones correspondientes y presentada para la aprobación de las autoridades competentes de seguridad.

Se trata de un procedimiento que ofrece mucha flexibilidad a las empresas. No obstante, los Jefes de Seguridad no se ven liberados de su obligación de realizar un seguimiento sobre la visita solicitada y la lista adjunta. Así pues, el Jefe de Seguridad solicitante deberá mantener actualizada la lista comprobando que todo el personal que dependa de ellos durante la vigencia de la misma mantiene las condiciones de seguridad que tenía cuando se presentó la solicitud para su aprobación.

9

5.4.3. EXTENDIDA Este tipo de solicitud se realiza para aquellas visitas que vayan a requerir estar un largo tiempo en las instalaciones anfitrionas. Con carácter general, se considera visita extendida aquella superior a 30 días.

No se debe de confundir este tipo de visitas con otras situaciones en las que la vinculación del trabajador con la empresa que solicita la visita se ven modificadas o cuando se espera que la visita se vaya a prolongar indefinidamente.

Son habituales en aquellos casos en los que el visitante tenga que impartir o recibir un curso o desarrollar algún tipo de trabajo cuya complejidad requiera de un largo periodo de tiempo para ello.

En el caso de empresas multinacionales, el cambio de puesto de trabajo de una filial española a una filial alemana de la misma empresa no será considerado como una visita extendida. Tampoco se considerará visita extendida cuando un funcionario vaya destinado en comisión de servicio durante varios años a una empresa en el extranjero.

La duración de este tipo de solicitudes de visita se encuentra restringido, tal y como sucede con las visitas recurrentes, a un (1) año desde la fecha de aprobación de la misma.

5.5. Excepciones 5.5.1. EMERGENCIA El uso de este procedimiento para la tramitación de una solicitud de visita clasificada será extremadamente ocasional y sólo en aquellos casos en los que, tal y como establece la NS/06, resulte del todo imposible respetar el tiempo mínimo previsto para la tramitación por el procedimiento ordinario.

Para que una visita sea calificada de emergencia debe estar relacionada con un programa o contrato clasificado en el que la no realización de la visita tenga unas consecuencias graves para el desarrollo del programa o suponga la pérdida de una oportunidad de negocio.

La solicitud será presentada empleando el formulario establecido para ello según el procedimiento ordinario. No obstante, en este caso, además de la necesidad de justificar el acceso a la información clasificada, se deberán señalar en la solicitud los motivos por los que resulta imprescindible llevar a cabo la visita con tan corto plazo de preaviso.

Si la autoridad competente de seguridad no cree que los motivos arriba referidos justifiquen convenientemente la urgencia de la citada visita, podrá o bien denegar la visita o bien que se tramite pero según el procedimiento ordinario.

5.5.2. MODIFICACIONES Se podrán realizar cuantas modificaciones se estimen necesarias siempre que para ello se sigan los procedimientos y plazos establecidos para la entrega de las solicitudes de visita.

10

Ejemplos de posibles modificaciones: información del jefe de seguridad, errores tipográficos, cambios de fecha (siempre que sean para fechas posteriores), etc.

Para ello se deberá remitir a la autoridad competente de seguridad el formulario con la información actualizada señalando en el mismo que se trata de una modificación.

Cualquier modificación recibida por la autoridad de seguridad competente fuera del plazo establecido para la solicitud podrá no ser aceptada y suponer, por lo tanto, la denegación de la misma.

6. REQUISITOS NECESARIOS PARA REALIZAR LA VISITA CLASIFICADA Son requisitos imprescindibles para que se apruebe una solicitud de visita clasificada los siguientes: -

El procedimiento empleado para la solicitud de la visita clasificada debe de ser el apropiado. Para ello se deberá tener en cuenta tanto las Normas de la Autoridad Nacional así como otra normativa específica aplicable al caso y la documentación de seguridad del programa o contrato clasificado correspondiente.

-

Enviar debidamente cumplimentado y por medios telemáticos el formulario de solicitud de visita. Por parte de las instalaciones españolas se deberá emplear el formulario 8 desarrollado por la ONS al respecto (Anexo 1).

-

Que la persona cuente con las condiciones de seguridad necesarias para poder acceder a la información clasificada por la que hace la visita (ver punto 4 de estas Orientaciones).

7. PROCEDIMIENTO A SEGUIR PARA REALIZAR LA SOLICITUD ORDINARIA La NS/06 es el documento de referencia para la solicitud de visitas clasificadas en el ámbito de la seguridad industrial. No obstante, las normas de la Autoridad Nacional se pueden ver complementadas por otra normativa nacional (p.ej. la Orden Ministerial 76/2006, de 19 de mayo, por la que se aprueba la política de seguridad de la información del Ministerio de Defensa y su normativa de desarrollo) e internacional (Acuerdos Bilaterales y Multilaterales para la Protección de la Información Clasificada, normativa OTAN, UE, ESA, OCCAR 9, etc.) o, incluso, por otros documentos de seguridad que se hayan acordado por parte de la autoridad competente de seguridad tales como Instrucciones de Seguridad del Programa, cláusulas de seguridad de los contratos, acuerdos administrativos con otras autoridades competentes de seguridad, etc.

Teniendo en cuenta lo arriba señalado, a continuación se indicarán las actuaciones que, con carácter general, deberán realizar los Jefes de Seguridad de las empresas sitas en España 8

La información requerida en dicho formulario se encuentra armonizada con la que se solicita en la mayor parte de la normativa internacional al respecto.

9 Organización del Tratado del Atlántico Norte (OTAN), Unión Europea (UE), Agencia Espacial Europea (en inglés ESA) Organización Conjunta de Cooperación en materia de Armamento (OCCAR).

11

con relación a una solicitud de visita clasificada internacional que tenga como origen o destino su instalación.

7.1. Visitas clasificadas por parte de personal de una instalación española a una instalación extranjera.

Todas aquellas visitas clasificadas que realice personal de una instalación española a una instalación extranjera (de entre las cuales al menos una de ellas cualifique como empresa), y que por las características de la visita deba de ser autorizada por parte de la autoridad competente de seguridad, deberán de ser solicitadas a la ONS. 1. El procedimiento comienza con la presentación de la propuesta de visita clasificada por parte del potencial visitante al Jefe de Seguridad de las instalaciones en donde se encuentra empleado.

2. El Jefe de Seguridad del visitante se encargará de: a) valorar la conveniencia de la solicitud, b) decidir el procedimiento que aplica a la misma, y c) en caso de haberla valorado positivamente, remitir el formulario convenientemente rellenado y firmado a la ONS (dirección de correo electrónico SP-IVTCO@areatec.com) con una antelación mínima de diez (10) días laborales antes de la realización de la visita.

3. La ONS aprobará la solicitud y la remitirá a la autoridad competente de seguridad extranjera para su aprobación final cuando se haya confirmado que: a) la solicitud incluye todos los datos necesarios b) se ajusta a los procedimientos aplicables al caso, y c) se cumplen las condiciones necesarias (ver punto 4 de estas Orientaciones) En caso de que no se cumpla con alguno de los requisitos arriba señalados, la solicitud será devuelta al Jefe de Seguridad de la instalación española.

4. Tras la remisión a la autoridad competente de seguridad extranjera y, tan pronto como se confirme la aceptación o la denegación de la solicitud por parte de la misma, la ONS informará al respecto a la instalación española por el mismo canal por el que se recibió la solicitud.

12

OK

NO OK

2 1 3 OK

JEFE DE SEGURIDAD ORGANISMO PÚBLICO ESPAÑOL

Y/O

OFICINA NACIONAL DE SEGURIDAD

AUTORIDAD COMPETENTE SEGURIDAD EXTRANJERO

2 3 OK

O

NO OK

JEFE DE SEGURIDAD EMPRESA ESPAÑOLA

NOTA: Recuérdese que estas Orientaciones NO son de aplicación para solicitudes de visitas de un organismo público a otro organismo público por trabajadores que se encuentran en calidad de funcionarios o asimilables (ver punto 3 de estas Orientaciones).

7.2. Visitas clasificadas por parte de personal extranjero a una instalación española 1. Todas aquellas visitas clasificadas que realice personal de una instalación extranjera a una instalación española, y que por las características de la visita deba de ser autorizada por parte de la autoridad competente de seguridad, deberá ser remitida por parte de la instalación extranjera a la ONS a través de su autoridad competente de seguridad.

2. La ONS, al igual que en el caso anterior, comprobará que se cumplen los requisitos necesarios preguntando, incluso, al Jefe de Seguridad de la instalación española anfitriona. Una vez realizada dicha comprobación, la ONS procederá a la aprobación o no de la misma.

3. La ONS comunicará la aprobación o denegación de la solicitud de visita a la autoridad competente de seguridad extranjera por los mismos medios por los que se recibió la solicitud. Será dicha autoridad la que deberá comunicar al Jefe de Seguridad de la instalación sita en dicho país la decisión tomada por la ONS. En ningún caso la autoridad competente de seguridad extranjera se pondrá en comunicación directa con la instalación española a ser visitada. Si ello sucediera, el Jefe de Seguridad de la instalación española deberá comunicar tal circunstancia a la ONS.

13

2

OFICINA NACIONAL DE SEGURIDAD

AUTORIDAD COMPETENTE SEGURIDAD EXTRANJERO

1 3 OK

O

NO OK

1

JEFE DE SEGURIDAD ORGANISMO PÚBLICO EXTRANJERO

O

JEFE DE SEGURIDAD EMPRESA ESPAÑOLA

JEFE DE SEGURIDAD ORGANISMO PÚBLICO EXTRANJERO

Y/O

3

OK

O

NO OK

JEFE DE SEGURIDAD EMPRESA EXTRANJERA

NOTA: Recuérdese que estas Orientaciones NO son de aplicación para solicitudes de visitas de un organismo público a otro organismo público por trabajadores que se encuentran en calidad de funcionarios o asimilables (ver punto 3 de estas Orientaciones).

Será responsabilidad del Jefe de Seguridad anfitrión confirmar la identidad del visitante mediante la presentación de documento válido identificativo, pasaporte o documento nacional de identidad.

Finalmente, el Jefe de Seguridad anfitrión custodiará un libro de registro de visitas donde se recogerán las fechas de la visita, el nombre completo del visitante, número de DNI o pasaporte, nacionalidad, empresa/organismo o dirección del visitante, HPS concedida y fecha de expiración de la misma, y nombre de la persona visitada. Este libro estará disponible durante, al menos, dos años.

7.3. Visitas clasificadas que tengan como origen o destino una instalación española dentro del ámbito de los programas y contratos clasificados del Ministerio de Defensa.

Tal y como se puede observar en la NS/06 es responsabilidad de la ONS “aprobar las visitas de personal de la industria extranjera a organismos de los departamentos ministeriales españoles, recibidas de los organismos extranjeros competentes. Este proceso podrá ser delegado en el área de seguridad […]”.

El Ministerio de Defensa español ha desarrollado una normativa específica para la protección de la información que se maneje en el ámbito de responsabilidad de su ministerio a través de la Orden Ministerial 76/2006, de 19 de mayo.

14

Esta Orden Ministerial cuenta con un desarrollo específico con respecto al manejo de la información clasificada por parte de las empresas que participen en programas y contratos clasificados de dicho Ministerio. Dicho desarrollo normativo es la Instrucción 52/2013, de 17 de junio, del Secretario de Estado de Defensa, por la que se aprueban las Normas para la Seguridad de la Información del Ministerio de Defensa en poder de las empresas. Es en dicha norma donde se regula el procedimiento para la aprobación de visitas clasificadas cuyo origen o destino se encuentre dentro del ámbito arriba señalado.

En este caso y haciendo uso de la prerrogativa establecida en la NS/06 arriba descrita, la ONS ha delegado la responsabilidad de aprobar este tipo de visitas en el Responsable del Área de Seguridad de la Información en poder de las empresas y así queda reflejado la Instrucción antes mencionada.

8. TRANSPORTE DE INFORMACIÓN CLASIFICADA EN MANO El procedimiento para el transporte de Información Clasificada en Mano aparece recogido en las Orientaciones para la Tramitación de Planes de Transporte de Información Clasificada (OR-ASIC-02-02.01).

Este supuesto no debe de ser confundido con una visita clasificada aunque puedan tener muchos puntos en común.

Aunque está permitido por la normativa, esta Oficina no recomienda que se aproveche la realización de un viaje clasificado para el intercambio de información clasificada entre dos instalaciones. Para ello se deberán emplear o bien los conductos oficiales o bien los medios telemáticos aprobados por la Autoridad Nacional para ello.

15

ANEXO I: FORMULARIO DE SOLICITUD DE VISITA (INGLÉS)

Características Básicas del formulario El formulario de solicitud de visita de la ONS se encuentra realizado en idioma inglés puesto que es el idioma que se emplea de forma generalizada y es el comúnmente aceptado como método de comunicación entre las autoridades competentes de seguridad de los diversos países y organizaciones internacionales con los que la ONS tiene relación habitual.

El formulario se encuentra desarrollado en formato “pdf” (formato habitual utilizado por Adobe Acrobat y el lector Acrobat Reader) con campos activos y firma electrónica, dado que permite ofrecer una presentación más cuidada con respecto a otros sistemas ya desfasados (p.ej. FAX), facilitando su redacción así como su remisión por medios telemáticos reduciendo los tiempos de gestión y aumentando su seguridad. Dicho formulario se encuentra en la página web www.cni.es/es/ons.

Así mismo señalar que la introducción del sistema de firma digital tiene un doble impacto en la seguridad del formulario, al permitir: -

identificar a la persona que ha creado el mensaje (autentificación), y

-

confirmar que el documento no ha sido alterado durante la transmisión (integridad) puesto que, una vez firmado, el documento no podrá ser modificado por ninguna otra persona que no sea el firmante del mismo.

Así pues, téngase en cuenta que, en caso de que la ONS identifique algún error en la información incluida en el formulario, el documento será devuelto al Jefe de Seguridad que lo remitió, para que sea éste quien introduzca las modificaciones correspondientes y, tras volverlo a firmar, lo vuelva a remitir a la ONS para su revisión y aprobación.

La firma digital se basa en el sistema estándar PKCS#12 (similar al que se emplea para el certificado electrónico que contiene, entre otros, el DNI electrónico). No obstante, en el caso de que no se pueda o no se desee emplear el DNI electrónico u otro tipo de certificación electrónica (p.ej. tarjetas de identificación de la empresa o del organismo al que se pertenezca que cuenten con dicho sistema) para este cometido, el programa informático Acrobat Reader permite la posibilidad de crear una identificación digital que sirva como firma.

El formulario ha sido desarrollado para poder ser manejado con el programa informático Acrobat Reader 9.0 y versiones posteriores del mismo. Versiones anteriores de dicho programa no permiten su correcto visionado.

A continuación se recoge un modelo de solicitud de visita con ciertas instrucciones que permiten identificar, por un lado, qué información se está solicitando en cada uno de los apartados y, por otro, quién es el responsable de aportarla. Con respecto a las cuestiones relativas a la firma digital u otros aspectos técnicos del documento, se recomienda acudir a la sección de “Ayuda” del propio programa informático Acrobat Reader al objeto de poder solventarlas.

16

A rellenar por el JS que solicita la visita. Ver aptdo. 5.2.2 “Grado”

10

A rellenar por el JS que solicita la visita

A rellenar por el JS que solicita la visita Ver aptdos.

5.4“Por la frecuencia de la vista” y 5.5 “Excepciones”)

A rellenar por la NSA/DSA del organismo o empresa que solicita la visita

A rellenar por el JS que solicita la visita

Nombre de la empresa que solicita la visita A rellenar por el JS que solicita la visita (ver aptdo.5.1 “Por la zona geográfica”)

A rellenar por el JS que solicita la visita (ver aptdo.

5.4 “Por la frecuencia de la vista”)

A rellenar por el JS que solicita la visita (ver aptdo 4:”la visita deberá de estar justificada”) 10

JS = Jefe de Seguridad.

17

A rellenar por el JS que solicita la visita (ver aptdo 4: “la visita deberá de estar justificada”)

Para el caso de que se señale “Other”

A rellenar por el JS que solicita la visita (ver aptdo 4: “la visita deberá de estar justificada”)

A rellenar por el JS que solicita la visita. (ver aptdo.

5.2.2 “Grado”)

A rellenar por el JS que solicita la visita.

A rellenar por el JS que solicita la visita. (ver aptdos.

7.1 “Visitas clasificadas por parte de personal de una instalación española a una instalación extranjera” y 7.2.

“Visitas clasificadas por parte de personal extranjero a una instalación española”)

A rellenar por el JS que solicita la visita.

Firma digital (ver la Guía para “Cómo completar convenientemen te el formulario en formato electrónico”) Se deberá de rellenar el nombre del JS, número de teléfono y correo electrónico directo del mismo. No emplear ni números de centralita telefónica ni cuentas de correo genéricas a no ser que estén permanentemente atendidos dentro del horario laboral.

18

A rellenar por la NSA/DSA del organismo o empresa que solicita la visita

A rellenar por la NSA/DSA del organismo o empresa que solicita la visita

A rellenar por el JS que solicita la visita Ver aptdo.

5.5 “Excepciones�)

19

A rellenar por el JS que solicita la visita

Permite añadir cuantas instalaciones se prevea a visitar.

Nombre de la empresa que solicita la visita Nombre de la persona que se vaya a responsabilizar de la visita.

Nombre del JS o suplente del responsable arriba señalado.

Permite eliminar las instalaciones que finalmente no se vayan a visitar.

A rellenar por el JS que solicita la visita

Permite añadir tantos visitantes como se prevea que vaya a haber.

Datos del visitante. Se deberá de incluir el grado y tipo de HPS.

Permite eliminar los visitantes que finalmente no vayan a viajar.

20