Beredskabsplanen for EU-klassificerede oplysninger, som din bevillingsaftale kræver

Blandt de forpligtelser, der følger med et klassificeret tilskud under European Defence Fund, er der én, som næsten aldrig nævnes i de offentlige vejledninger. Den står i et dokument, de fleste ansøgere aldrig åbner, og tilskudsmyndigheden kan uden videre kontrollere den.

Modtagere skal have forretningsberedskabsplaner til beskyttelse af EU-klassificerede oplysninger og skal bekræfte over for tilskudsmyndigheden, at planerne findes.

Hvor kravet faktisk står

Det står ikke i Model Grant Agreement. Søger du efter "contingency" eller "business continuity" i det dokument, finder du ingenting. Det er en af grundene til, at kravet så sjældent bliver omtalt.

Det står i Commission Decision (EU, Euratom) 2021/259, gennemførelsesbestemmelserne om industrisikkerhed for klassificerede tilskud. Artikel 16 med overskriften "Contingency plans and recovery measures" kræver, at tilskudsmyndigheden sikrer, at den klassificerede tilskudsaftale forpligter modtagerne til:

"to set out business contingency plans ('BCP') for protecting EUCI handled in the context of the classified grant in emergency situations, and to put in place preventive and recovery measures … to minimise the impact of incidents in relation to the handling and storage of EUCI. The beneficiaries shall confirm to the granting authority that their BCPs are in place."

Den bestemmelse, der binder dig direkte, står i det security aspects letter, der er vedlagt din tilskudsaftale, i Annex III, Appendix A. Den forpligter modtageren eller underleverandøren til at beskytte enhver EUCI, der behandles under aftalen, og til at underrette tilskudsmyndigheden om sin BCP.

To detaljer i ordlyden er værd at være præcis om.

Den dækker EUCI generelt. Ikke kun materiale klassificeret som RESTREINT UE/EU RESTRICTED, og ikke kun de højeste niveauer. Enhver EU-klassificeret oplysning, der behandles i forbindelse med tilskuddet, er omfattet.

Den har to dele. Forebyggende foranstaltninger og genopretningsforanstaltninger. En plan, der kun beskriver, hvad du ville gøre efter en hændelse, opfylder halvdelen af kravet.

Hvad det ikke er

Der findes endnu et krav med et lignende navn i samme regelsæt, og den mest sandsynlige måde at opfylde ingen af dem på er at blande dem sammen.

Kravet i Appendix E i samme bilag er det snævre. Det gælder EU-klassificerede oplysninger på niveauet RESTREINT UE/EU RESTRICTED i modtagerens egne kommunikations- og informationssystemer og kræver back-up-procedurer, der dækker hyppighed, opbevaring på eller uden for stedet og kontrol med adgangen til back-up-kopierne. Det er et dokument om IT-kontinuitet.

BCP'en efter artikel 16 handler om at beskytte klassificerede oplysninger i en nødsituation. Brand, oversvømmelse, tvungen evakuering, at et sted bliver utilgængeligt, en hændelse, der gør det uklart, hvem der har det klassificerede materiale i varetægt. Den spørger, hvad der sker med det klassificerede materiale, hvem der har ansvaret, hvordan det sikres eller destrueres, og hvordan det genoprettes.

En organisation med en solid IT-katastrofeberedskabsplan og ellers ingenting har ikke opfyldt artikel 16. De to dokumenter besvarer forskellige spørgsmål, og tilskudsmyndigheden har ret til at spørge til det, du ikke har skrevet.

Hvad en plan skal kunne påvise

Afgørelsen foreskriver ingen skabelon, hvilket både er en lettelse og en fælde. Lettelsen er, at en plan, der står i forhold til dine faktiske beholdninger, er tilstrækkelig. Fælden er, at "vi har en plan" ikke er selve kravet. Kravet er, at planen findes, at du har bekræftet den over for tilskudsmyndigheden, og underforstået at den er aktuel.

Spørgsmålene, du skal kunne besvare, er derfor de sædvanlige. Man stiller dem til et dokument, der er let at skrive én gang og derefter glemme:

• Hvilken version er den aktuelle, hvem har godkendt den, og hvornår?
• Dækker den både forebyggende foranstaltninger og genopretningsforanstaltninger?
• Dækker den al den EUCI, der faktisk behandles under tilskuddet, herunder noget, der er kommet ind i omfanget, efter at planen blev skrevet?
• Hvem er nævnt i den, og er de personer her stadig?
• Hvornår blev bekræftelsen sendt til tilskudsmyndigheden, og skete der noget væsentligt bagefter?

Det sidste spørgsmål er det ubehagelige. En bekræftelse er en erklæring afgivet på en bestemt dato. Hvis planen ændrede sig væsentligt bagefter, eller de klassificerede beholdninger gjorde det, beskriver bekræftelsen noget, der ikke længere findes.

Altså er det et spørgsmål om dokumentstyring

Intet i afsnittene ovenfor er eksotisk. Det er et styret dokument med en ejer, en godkendelse, en fast reviewfrekvens og en distributionsliste, hvis aktualitet du skal kunne påvise på et bestemt tidspunkt, måske år senere.

Det er præcis den disciplin, der ligger bag de standarder, en forsvarsleverandør allerede forventes at leve op til, og præcis det, dokumentstyring er til for. Hvis dit kvalitetssystem allerede holder procedurer under versionsstyring med en godkendelseshistorik og en reviewplan, hører artikel 16-planen hjemme deri i stedet for ved siden af i en persons mappe. Gør det ikke det, er EDF-kravet en god anledning til at lukke et hul, en auditor alligevel ville have fundet på et tidspunkt.

Det beslægtede spørgsmål om, hvem der overhovedet er klareret til at håndtere materialet, er en særskilt forpligtelse, som er behandlet i klareringer og Security Aspects Letter.

Sådan tjekker du det selv

• Commission Decision (EU, Euratom) 2021/259, artikel 16 og Annex III Appendix A
• Samme bilags Appendix E for det snævrere back-up-krav, der gælder klassificerede oplysninger i dine egne systemer, så du kan se forskellen
• Dit Security Aspects Letter, hvor disse forpligtelser rammer din konkrete aktion

Det bredere sæt af krav er beskrevet i hvad et EDF-tilskud faktisk forpligter dig til at påvise.

En beredskabsplan er kun det værd, du kan påvise om den: hvilken version, godkendt af hvem, og hvad den sagde på dagen for hændelsen. Se, hvordan ComplyTrain håndterer dokumentstyring.

Dette beskriver, hvad de offentliggjorte regler siger pr. 8. september 2026, og er ikke juridisk rådgivning.