ZÁVÄZNÉ VYHLÁSENIE PRÍSLUŠNÉHO ORGÁNU ČLENSKÉHO ŠTÁTU ALEBO SPLNOMOCNENEJ VNÚTROŠTÁTNEJ INŠTITÚCIE TÝKAJÚCE SA ASPEKTOV ZABEZPEČENIA SYSTÉMU REACH-IT 
Keďže: 
•	nariadenie REACH (ES) č. 1907/2006 a nariadenie CLP (ES) č. 1272/2008 obsahujú ustanovenia týkajúce sa povinnosti Európskej chemickej agentúry (ECHA) zverejňovať určité informácie, ktoré poskytne priemysel, a keďže agentúra ECHA takisto zodpovedá za ochranu dôverných obchodných informácií, 
•	o štandardných bezpečnostných požiadavkách nevyhnutne potrebných na umožnenie prístupu
do systému REACH-IT sa diskutovalo v rámci siete bezpečnostných úradníkov agentúry ECHA a agentúra ECHA tieto požiadavky prijala v súlade so všeobecným prístupom schváleným riadiacou radou agentúry ECHA, 
•	v rôznych ustanoveniach nariadenia REACH sa od agentúry ECHA výslovne požaduje, aby príslušným orgánom členských štátov umožnila prístup k informáciám, ktoré sú uložené v systéme REACH-IT. Takýto prístup sa má umožniť na účely pomoci pri činnosti príslušných orgánov členských štátov, ktorá vyplýva z nariadenia REACH, pričom nebudú dotknuté rozhodovacie právomoci agentúry ECHA, 
•	opatrenia vychádzajú zo skutočnosti, že členské štáty sú viazané súborom základných práv, ktoré musí Európska únia dodržiavať podľa ustanovení v článku 6 ods. 2 Zmluvy o Európskej únii. Medzi tieto základné práva patrí ochrana dôvernosti údajov a obchodných tajomstiev. Okrem toho nezabezpečenie ochrany takýchto informácií by znamenalo porušenie článku 10 Zmluvy o ES, na základe ktorého členské štáty nesmú obmedzovať riadne fungovanie nariadenia REACH, 
•	v rámci opatrení sa musí zohľadniť aj nariadenie (ES) č. 1049/2001 o prístupe verejnosti 
k dokumentom, nariadenie (ES) č. 1367/2006 o uplatňovaní ustanovení Aarhuského dohovoru na inštitúcie a orgány Spoločenstva a smernica 2003/4 o prístupe verejnosti k informáciám o životnom prostredí. 
príslušný orgán členského štátu Slovenská republika,
Ministerstvo hospodárstva Slovenskej republiky
Mierová 19
827 15 Bratislava 212

týmto vyhlasuje, že 
•	uznáva, že právo na prístup k údajom, ktoré nie sú verejne dostupné, sa udeľuje len s cieľom umožniť príslušným orgánom členských štátov a orgánom zodpovedným za presadzovanie nariadenia REACH a nariadenia CLP č. 1272/2008 plniť svoje úlohy v súlade s týmito nariadeniami a podľa potreby v rámci uplatňovania a vykonávania ďalších právnych predpisov Spoločenstva, 
•	zaväzuje sa rozhodnúť o všetkých prijatých žiadostiach o prístup k informáciám o životnom prostredí nachádzajúcich sa v systéme REACH-IT alebo o prístup k dokumentom či k iným informáciám nachádzajúcim sa v systéme REACH-IT – ak tieto žiadosti nepostúpi agentúre ECHA – po náležitom zvážení skutočnosti, že podľa článku 118 ods. 2 nariadenia REACH sa zverejnenie takýchto informácií, ktoré sa v žiadosti uvádzajú, za bežných okolností považuje za porušenie ochrany obchodných záujmov dotknutej strany, 
•	zaväzuje sa rozhodnúť o všetkých prijatých žiadostiach o prístup k informáciám o životnom prostredí nachádzajúcim sa v systéme REACH-IT alebo o prístup k dokumentom či k iným informáciám nachádzajúcim sa v systéme REACH-IT – ak tieto žiadosti nepostúpi agentúre ECHA, pričom zohľadní aj rozhodnutie agentúry, v súlade s článkom 119 ods. 2 nariadenia REACH. Toto rozhodnutie sa prijme na základe žiadosti registrujúceho o zohľadnenie skutočnosti, že určité informácie uvedené v článku 119 ods. 2 by mohli prípadne poškodiť obchodné záujmy dotknutej strany, 
•	zaväzuje sa konzultovať s agentúrou ECHA a zohľadniť jej stanovisko v súvislosti s každou takouto žiadosťou o prístup k informáciám s cieľom zjednodušiť spoločný výklad dôverného charakteru požadovaných údajov a tým sa vyhnúť potenciálnemu rozdielu v rozhodnutiach o takýchto žiadostiach, 
•	potvrdzuje, že uplatňuje štandardné bezpečnostné požiadavky na prístup do systému REACH-IT, ktoré schválila riadiaca rada agentúry ECHA, 
•	vyjadruje svoju ochotu spolupracovať s manažmentom pre zabezpečenie agentúry ECHA vrátane zdieľania informácií o bezpečnostných opatreniach a možnosti, aby agentúra ECHA skontrolovala ich realizáciu priamo na mieste, 
•	zaväzuje sa uskutočňovať výročné audity (externé alebo interné) príslušných bezpečnostných požiadaviek, 
•	každú stratu, škodu či zranenie, ktoré vzniknú tretím stranám následkom neoprávneného zverejnenia či narušenia zabezpečenia systému REACH-IT v priestoroch príslušného orgánu členského štátu (alebo splnomocnenej vnútroštátnej inštitúcie) pre neprimerané aktivity alebo nedbalosť tohto orgánu, uhradí príslušný orgán členského štátu (alebo splnomocnená vnútroštátna inštitúcia) alebo v závislosti od vnútroštátnych ustanovení dotknutý členský štát. Zbavuje agentúru ECHA zodpovednosti za takúto stratu, poškodenie či zranenie, ako aj za náhradu odškodného v tejto súvislosti, ako to považuje za vhodné príslušný súd, 
•	zaväzuje sa rozšíriť toto vyhlásenie prostredníctvom príslušných orgánov členských štátov medzi všetky orgány v členských štátoch, ktoré majú prístup k informáciám v systéme REACHIT, a to
v súlade so štandardnými požiadavkami na bezpečnosť vzťahujúcimi sa na prístup do systému REACH-IT, ktoré prijala agentúra ECHA, a získať ich súhlas, že sa vyhlásenie bude dodržiavať. 

Bratislava dňa ................................................

Ľubomír Jahnátek
minister hospodárstva Slovenskej republiky 

							Príloha 

ŠTANDARDNÉ BEZPEČNOSTNÉ POŽIADAVKY NA PRÍSTUP   DO SYSTÉMU REACH-IT PRE PRÍSLUŠNÉ ORGÁNY ČLENSKÝCH ŠTÁTOV ALEBO SPLNOMOCNENÉ VNÚTROŠTÁTNE INŠTITÚCIE ČI KOMISIU

1.	Príslušný orgán členského štátu/splnomocnená vnútroštátna inštitúcia/Komisia prijali fyzické bezpečnostné opatrenia pre budovy alebo miestnosti, v ktorých majú autorizovaní používatelia prístup do aplikácie REACH-IT s cieľom zaručiť, že fyzický prístup k počítaču, sieti a zariadeniam koncových používateľov je vyhradený pre oprávnené osoby. Tieto opatrenia zhŕňajú ochranu prístupu do priestorov príslušného orgánu členského štátu/splnomocnenej vnútroštátnej inštitúcie/Komisie, prítomnosť výstražných systémov signalizujúcich narušenie na vonkajších dverách, záznamovú priemyslovú televíziu na obrazový dozor nad hlavnými oblasťami (minimálne v miestnosti, kde sa nachádza šifrovacie elektronické zariadenie) v súlade s nariadeniami
o ochrane údajov a podľa potreby použitie menoviek s cieľom určiťprípadné neoprávnené osoby.

2.	Príslušný orgán členského štátu/splnomocnená vnútroštátna inštitúcia/Komisia prijali minimálne nasledujúce bezpečnostné opatrenia týkajúce sa informačných a komunikačných technológií
(IKT) pre systém umožňujúci prístup do systému REACH-IT: 
a.	Neexistuje možnosť diaľkového prístupu do systému REACH-IT, žiadne externé pripojenie externých strán k systému REACH-IT, t. j. prístup je povolený len z priestorov príslušného orgánu členského štátu/splnomocnenej vnútroštátnej inštitúcie alebo Komisie. 
b.	Pre pracovné stanice pripojené k miestnej sieti (LAN) funguje sieťová ochrana s bránami firewall, antivírusovými programami a e-mailovými a webovými servermi proxy; priamo
k šifrovaciemu elektronickému zariadeniu môžu byť bez servera proxy pripojené len samostatné pracovné stanice. 
c.	Na prístup do systému REACH-IT sa nesmú používať žiadne nechránené bezdrôtové siete. 
d.	Pri prihlasovaní do pracovnej stanice sa používajú individuálne používateľské účty. Nie sú povolené žiadne zdieľané účty. 
e.	Prístup do systému REACH-IT používa certifikáty klientov. 
f.	Správcovia používateľov okrem toho používajú zabezpečovaciu známku. 
g.	Hardvérová zabezpečovacia známka a jej kód PIN (osobné identifikačné číslo) sa vydávajú jednotlivo a nesmú sa zdieľať. 
h.	Zabezpečenie pomocou hesla je obmedzujúce, pričom sa zreteľne stanovuje, ako často sa heslo musí zmeniť, aká je jeho minimálna dĺžka a aké sú požiadavky na jeho zložitosť. 
i. 	Dodržiava sa zásada „čistej obrazovky“, v rámci ktorej je nariadené zablokovanie pracovnej stanice pri každom opustení písacieho stola a automatické používanie šetriča obrazovky po určitom čase nečinnosti. 
j. 	Platia zásady prihlasovania a sledovania vrátane prihlasovania a analýzy udalostí týkajúcich sa zabezpečenia, monitorovania dostupnosti a kapacity, systému zisťovania narušenia a prevencie, ako aj zisťovania nezvyčajnej činnosti. 
3.	Príslušný orgán členského štátu/splnomocnená vnútroštátna inštitúcia/Komisia uplatňujú minimálne nasledujúce obmedzenia týkajúce sa zaobchádzania s neverejnými informáciami sprístupnenými v súvislosti s nariadením REACH: 
a.	Prístup sa umožňuje výlučne na základe potreby získať poznatky z dôvodov profesijnej činnosti a je zreteľne zdokumentovaný.

b.	Uplatňuje sa zásada čistého pracovného stola, to znamená jasné pokyny s cieľom zaručiť, aby sa informácie ukladali do uzamknutých skriniek a žiadne výtlačky sa nenechávali mimo chránených budov bez zabezpečenia a dozoru. 
c.	Existujú zreteľné pokyny s cieľom zaručiť, aby sa mimo nechránených budov nenechávali nechránené prenosné pamäťové zariadenia (t. j. musia byť zašifrované). 
d.	Existujú zreteľné pokyny s cieľom zabezpečiť, aby sa v rozhovoroch na verejných miestach alebo hovoroch prostredníctvom mobilných telefónov nehovorilo o žiadnych citlivých informáciách. 
e.	Informácie sú normálne prístupné z databázy REACH-IT. Možno zhotovovať miestne kópie (elektronické alebo na papieri), ale len tých informácií, ktoré boli konkrétne vyžiadané pre konkrétne úlohy vyplývajúce z nariadení REACH a CLP alebo pre činnosti v rámci presadzovania práva, pričom tieto kópie sa musia zničiť, keď už nie sú na plnenie regulačných povinností potrebné. 
f.	Ak je to potrebné v rámci právnych alebo administratívnych konaní, možno príslušným orgánom a inštitúciám poskytovať len tie informácie, ktoré sú nevyhnutne potrebné v súvislosti s danou vecou. 
g.	Prenášané údaje sa pri prenose v rámci verejných sietí šifrujú. Vo verejných sieťach (napr. internete) sa nesmú posielať nezašifrovanou externou elektronickou poštou, ani prostredníctvom FTP alebo obyčajného HTTP bez šifrovania s použitím protokolu SSL. 
h.	Ak sa výtlačky tlačia na zdieľanej tlačiarni, kopírke či faxe, ihneď po vyhotovení sa musia zo zariadenia odobrať. 
i.	Papier sa bezpečne skartuje alebo zlikviduje. 
j. 	Pamäťové zariadenia a médiá, ktoré už nie sú potrebné, sa vymažú alebo zničia. Nefunkčné pevné disky sa vymažú alebo fyzicky zničia. 
4.		Príslušný orgán členského štátu/splnomocnená vnútroštátna inštitúcia/Komisia uplatňujú nasledujúce dodatočné bezpečnostné opatrenia: 
a.	Je určený bezpečnostný úradník, ktorý: 
i. 	zodpovedá za bezpečnostné školenia, informačné schôdzky a propagáciu informácií o zabezpečení, 
ii.	musí agentúre ECHA oznámiť každé podozrenie týkajúce sa narušenia bezpečnosti, každý pokus o takéto narušenie, ako aj skutočné narušenie, ktoré by mohli ohroziť údaje v systéme REACH-IT vrátane závažných pokusov
o nezákonný či neoprávnený vstup do zabezpečenej oblasti, každú stratu, odcudzenie alebo porušenie údajov v systéme REACH-IT, ako aj každý pokus
o korupciu úradníka s cieľom získať prístup k údajom zo systému REACH-IT alebo iným citlivým materiálom. 
b.	Je určený správca používateľov, ktorý: 
i. 	zabezpečuje, aby používateľom, ktorí už nepôsobia v organizácii, bol ihneď znemožnený akýkoľvek prístup, sleduje neaktívnych používateľov, raz do roka vykonáva kontrolu používateľov s cieľom určiť tých používateľov, ktorí zmenili funkciu alebo z organizácie odišli, a centralizovať archív používateľov a riadenie, 
ii.	vytvára základné používateľské účty aplikácie REACH-IT v členskom štáte príslušného orgánu, 
iii. overuje identitu základných používateľov a povoľuje im prístup do aplikácie REACH-IT, 
iv.	pred povolením prístupu predkladá používateľom na podpis dohodu
o nezverejnení a archivuje spisy s dohodami, 
v.	zostavuje a aktualizuje zoznam všetkých osôb, ktorým bol umožnený prístup do systému REACH-IT s kontaktnými údajmi a funkciami. 
c.	Je určený manažér IKT, ktorý: 
i. 	zaisťuje zabezpečené priestory, v ktorých je možné nainštalovať šifrovacie elektronické zariadenie virtuálnej súkromnej siete (VPN), pričom minimálnou požiadavkou je, aby sa šifrovacie elektronické zariadenie nachádzalo
v miestnosti, ktorú je možné uzamknúť a zabrániť tak neoprávnenému prístupu, 
ii. 	nepoužíva šifrovacie zariadenie VPN na žiadne iné účely ako na zabezpečené pripojenie k agentúre ECHA – to platí dokonca aj pre šifrovacie zariadenia, ktoré sú majetkom príslušného orgánu členského štátu alebo Komisie v čase, keď sa používajú na pripojenie k agentúre ECHA, 
iii. má právo odpojiť alebo iným spôsobom vypnúť zariadenie z aktívnej prevádzky 
vo svojej sieti,
 iv.	bezodkladne informuje agentúru ECHA v prípade, že zaznamená narušenie zabezpečenia alebo problém, ktorý by mohol ovplyvniť agentúru ECHA. 
5.	Príslušný orgán členského štátu/splnomocnená vnútroštátna inštitúcia/Komisia potvrdzujú, že používatelia systému REACH-IT podpísali osobitnú dohodu o nezverejnení, v ktorej sa uvádza, že: 
a.	Zaručujú, že sa informácie podľa nariadenia REACH nezverejnia neoprávneným osobám, s výnimkou prípadov, keď sú tieto informácie už verejne dostupné. 	
b.	Informačné systémy, ktoré majú k dispozícii, sú v ich neprítomnosti nedostupné, aj keď ide o krátkodobú neprítomnosť. 
c.	Zaväzujú sa, že nezverejnia svoje heslo ani žiadne iné informácie týkajúce sa overenia, ani ich nebudú zdieľať s inými osobami. 
d.	Budú vyhľadávať len tie informácie, pre ktoré získali výslovné povolenie. 	
e.	Budú používať informačné systémy, ktoré majú k dispozícii alebo ktoré riadia, a to výlučne takým spôsobom, akým sa majú používať. 
f.	Nebudú sa snažiť testovať žiadne slabiny systému, ani obísť žiadne prijaté bezpečnostné opatrenia. 
6.	Príslušný orgán členského štátu/splnomocnená vnútroštátna inštitúcia/Komisia zaručujú, že každú zmenu bezpečnostných opatrení či akýkoľvek problém týkajúci sa zabezpečenia bezodkladne oznámia bezpečnostnému úradníkovi agentúry ECHA.
7.	Príslušný orgán členského štátu/splnomocnená vnútroštátna inštitúcia/Komisia súhlasia s tým, že: 
a.	Prijaté bezpečnostné opatrenia musia byť každý kalendárny rok (od roku 2010) podrobené internému aj externému auditu podľa usmernení vypracovaných agentúrou ECHA so súhlasom siete bezpečnostných úradníkov. 
b.	Agentúra ECHA a sieť bezpečnostných úradníkov budú pravidelne posudzovať štandardné bezpečnostné požiadavky s cieľom reagovať na zmeny hrozieb, prostredia IKT a používania systémov IKT. Takéto posúdenie môže viesť k prijatiu nových pravidiel, podmienok či zmien a doplnkov, ktoré musí schváliť riadiaca rada. 
c.	Na základe posúdenia mimoriadnej situácie sa nové pravidlo, podmienka či zmena a doplnok týkajúce sa prístupu do systému REACH-IT a navrhnuté bezpečnostným úradníkom môžu stať záväznými aj rozhodnutím výkonného riaditeľa agentúry ECHA a budú riadne oznámené príslušným orgánom členských štátov prostredníctvom siete bezpečnostných úradníkov. Takéto rozhodnutie musí potvrdiť riadiaca rada na svojom najbližšom zasadnutí. 
8.	Akákoľvek odchýlka od týchto bezpečnostných opatrení je povolená len v prípade, že zaistí ekvivalentnú úroveň zabezpečenia, ktorú agentúra ECHA potvrdí na základe dohody so sieťou bezpečnostných úradníkov.