Decisione del Consiglio del 23 settembre 2013 sulle norme di sicurezza per proteggere le informazioni classificate UE (2013/488/UE)

1. La presente decisione stabilisce i principi fondamentali e le norme minime di sicurezza per proteggere le ICUE.

2. Tali principi fondamentali e norme minime di sicurezza si applicano al Consiglio e all’SGC e sono rispettati dagli Stati membri conformemente alle loro rispettive disposizioni legislative e regolamentari nazionali, affinché tutti possano avere la certezza che un livello equivalente di protezione è assicurato alle ICUE.

3. Ai fini della presente decisione, si applicano le definizioni che figurano nell’appendice A.

1. Per «informazioni classificate UE» (ICUE) si intende qualsiasi informazione o qualsiasi materiale designati da una classifica di sicurezza UE, la cui divulgazione non autorizzata potrebbe recare in varia misura pregiudizio agli interessi dell’Unione europea o di uno o più Stati membri.

2. Le ICUE sono classificate ad uno dei seguenti livelli:

1. a) TRÈS SECRET UE/EU TOP SECRET: informazioni e materiali la cui divulgazione non autorizzata potrebbe arrecare danni di eccezionale gravità agli interessi fondamentali dell’Unione europea o di uno o più Stati membri;

2. b) SECRET UE/EU SECRET: informazioni e materiali la cui divulgazione non autorizzata potrebbe ledere gravemente gli interessi fondamentali dell’Unione europea o di uno o più Stati membri;

3. c) CONFIDENTIEL UE/EU CONFIDENTIAL: informazioni e materiali la cui divulgazione non autorizzata potrebbe ledere gli interessi fondamentali dell’Unione europea o di uno o più Stati membri;

4. d) RESTREINT UE/EU RESTRICTED: informazioni e materiali la cui divulgazione non autorizzata potrebbe essere pregiudizievole per gli interessi dell’Unione europea o di uno o più Stati membri.

3. Le ICUE recano un contrassegno di classifica di sicurezza conformemente al paragrafo 2. Esse possono recare contrassegni supplementari intesi a designare il settore di attività cui si riferiscono, identificare l’originatore, limitare la distribuzione, restringere l’uso o indicare la divulgabilità.

1. Le autorità competenti garantiscono che le ICUE siano adeguatamente classificate, chiaramente identificate quali informazioni classificate e conservino il loro livello di classifica solo per il tempo necessario.

2. Le ICUE non sono declassate o declassificate e i contrassegni di cui all’articolo 2, paragrafo 3, sono modificati o rimossi senza il previo consenso scritto dell’originatore.

3. Il Consiglio approva una politica di sicurezza sulla creazione di ICUE che comprende una guida pratica per la classificazione.

1. Le ICUE sono protette conformemente alla presente decisione.

2. Il detentore di qualsiasi ICUE è responsabile della loro protezione conformemente alla presente decisione.

3. Quando gli Stati membri introducono informazioni classificate che recano un contrassegno di classifica di sicurezza nazionale nelle strutture o nelle reti dell’Unione, il Consiglio e l’SGC proteggono tali informazioni conformemente ai requisiti applicabili alle ICUE di livello equivalente come indicato nella tabella di equivalenza delle classifiche di sicurezza che figura nell’appendice B.

4. Un insieme di ICUE può richiedere un livello di protezione corrispondente a una classifica più elevata di quella dei singoli componenti.

1. Il rischio per le ICUE è gestito secondo una procedura. Tale procedura è volta a determinare i rischi noti per la sicurezza, a definire le misure di sicurezza per contenere tali rischi entro un livello accettabile conformemente ai principi fondamentali e alle norme minime stabiliti nella presente decisione, e ad applicare tali misure secondo il concetto di difesa in profondità definito nell’appendice A. L’efficacia di tali misure è valutata costantemente.

2. Le misure di sicurezza per proteggere le ICUE nel corso di tutto il loro ciclo di vita sono commisurate in particolare alla rispettiva classifica di sicurezza, alla forma e al volume delle informazioni o dei materiali, all’ubicazione e alla costruzione delle strutture in cui sono conservate le ICUE e alla valutazione a livello locale della minaccia di attività dolose e/o criminali, compreso lo spionaggio, il sabotaggio e il terrorismo.

3. I piani di emergenza tengono conto della necessità di proteggere le ICUE in situazioni di emergenza onde evitare l’accesso non autorizzato, la divulgazione o la perdita di integrità o di disponibilità.

4. I piani di continuità operativa comprendono misure di prevenzione e recupero per minimizzare l’impatto di disfunzioni o incidenti gravi nel trattamento e nella conservazione delle ICUE.

1. Se necessario il Consiglio, su raccomandazione del Comitato per la sicurezza, approva politiche di sicurezza che esplicitano le misure destinate ad attuare la presente decisione.

2. Il Comitato per la sicurezza può stabilire, per quanto di sua competenza, orientamenti di sicurezza intesi a integrare o sostenere la presente decisione e ogni eventuale politica di sicurezza approvata dal Consiglio.

1. Per «sicurezza del personale» s’intende l’applicazione di misure volte a garantire che l’accesso alle ICUE sia consentito solo alle persone che:

2. Le procedure per il nulla osta di sicurezza del personale sono intese a determinare se una persona, in considerazione della sua lealtà, onestà e affidabilità, può essere autorizzata ad accedere alle ICUE.

3. Tutte le persone in seno all’SGC le cui mansioni richiedono l’accesso a ICUE di livello CONFIDENTIEL UE/EU CONFIDENTIAL o superiore, o il trattamento di tali informazioni, dispongono del nulla osta di sicurezza del livello adatto prima di poter accedere a dette ICUE. Tali persone devono essere autorizzate dall’autorità dell’SGC che ha il potere di nomina ad accedere a ICUE fino a uno specifico livello e a una data stabilita.

4. Il personale degli Stati membri di cui all’articolo 15, paragrafo 3, le cui mansioni possono richiedere l’accesso a ICUE di livello CONFIDENTIEL UE/EU CONFIDENTIAL o superiore dispone del nulla osta di sicurezza del livello adatto o è in altro modo debitamente autorizzato in virtù delle sue funzioni, conformemente alle disposizioni legislative e regolamentari nazionali, prima di poter accedere a dette ICUE.

5. Prima che sia loro accordato l’accesso a ICUE, e successivamente ad intervalli regolari, tutte le persone sono informate e riconoscono le proprie responsabilità in materia di protezione delle ICUE conformemente alla presente decisione.

6. Le disposizioni di attuazione del presente articolo figurano nell’allegato I.

1. Per «sicurezza materiale» si intende l’applicazione di misure di protezione materiali e tecniche volte ad impedire l’accesso non autorizzato alle ICUE.

2. Le misure di sicurezza materiale sono intese ad impedire ad intrusi l’ingresso fraudolento o con la forza, a scoraggiare, ostacolare e scoprire azioni non autorizzate e a consentire la segregazione del personale per quanto riguarda il loro accesso alle ICUE in base al principio della necessità di conoscere. Tali misure sono determinate sulla base di una procedura di gestione del rischio.

3. Le misure di sicurezza materiale sono attuate per tutti i locali, gli edifici, gli uffici, le stanze o altre zone in cui le ICUE sono trattate o conservate, comprese le zone che contengono i sistemi di comunicazione e informazione definiti all’articolo 10, paragrafo 2.

4. Le zone in cui sono conservate ICUE di livello CONFIDENTIEL UE/EU CONFIDENTIAL o superiore sono costituite come zone sicure conformemente all’allegato II e approvate dall’autorità di sicurezza competente.

5. Per proteggere le ICUE di livello CONFIDENTIEL UE/EU CONFIDENTIAL o superiore si usano solo attrezzature o dispositivi approvati.

6. Le disposizioni di attuazione del presente articolo figurano nell’allegato II.

1. Per «gestione delle informazioni classificate» si intende l’applicazione delle misure amministrative intese a controllare le ICUE per tutto il loro ciclo di vita al fine di integrare le misure previste agli articoli 7, 8 e 10 e in tal modo contribuire a scoraggiare e scoprire casi di compromissione o perdita intenzionale o accidentale di tali informazioni. Dette misure riguardano in particolare la creazione, la registrazione, la copiatura, la traduzione, il declassamento, la declassificazione, il trasporto e la distruzione di ICUE.

2. Le informazioni classificate di livello CONFIDENTIEL UE/EU CONFIDENTIAL o superiore sono registrate a fini di sicurezza prima della diffusione e all’atto della ricezione. Le autorità competenti dell’SGC e degli Stati membri istituiscono un sistema di registrazione a tal fine. Le informazioni classificate di livello TRÈS SECRET UE/EU TOP SECRET sono registrate in uffici di registrazione dedicati.

3. I servizi ed i locali in cui sono trattate o conservate ICUE sono sottoposti a ispezioni periodiche da parte dell’autorità di sicurezza competente.

4. Le ICUE sono veicolate tra i servizi e i locali al di fuori delle zone oggetto di protezione materiale secondo le modalità seguenti:

1. a) di norma, le ICUE sono trasmesse con mezzi elettronici protetti mediante prodotti crittografici approvati conformemente all’articolo 10, paragrafo 6;

2. b) qualora non siano usati i mezzi di cui alla lettera a), le ICUE sono trasportate:

   1. i) su supporti elettronici (ad esempio chiave USB, CD, disco rigido) protetti mediante prodotti crittografici approvati conformemente all’articolo 10, paragrafo 6; o

   2. ii) in tutti gli altri casi, secondo quanto prescritto dall’autorità di sicurezza competente, conformemente alle pertinenti misure di protezione di cui all’allegato III.

5. Le disposizioni di attuazione del presente articolo figurano negli allegati III e IV.

1. Per «garanzia di sicurezza delle informazioni (IA) nel campo dei sistemi di comunicazione e informazione» si intende la fiducia nel fatto che tali sistemi proteggeranno le informazioni che trattano e funzioneranno nel modo dovuto e a tempo debito sotto il controllo degli utenti legittimi. Una IA efficace garantisce gli adeguati livelli di riservatezza, integrità, disponibilità, non disconoscibilità e autenticità. L’IA si basa su una procedura di gestione del rischio.

2. Per «sistema di comunicazione e informazione» (CIS) si intende ogni sistema che consente il trattamento delle informazioni in forma elettronica. Un CIS comprende l’insieme delle risorse necessarie al suo funzionamento, ivi compresi l’infrastruttura, l’organizzazione, il personale e le risorse dell’informazione. La presente decisione si applica ai CIS che trattano ICUE.

3. I CIS trattano le ICUE conformemente al concetto di IA.

4. Tutti i CIS sono sottoposti a una procedura di accreditamento. L’accreditamento ha lo scopo di ottenere la garanzia che sono state messe in atto tutte le misure di sicurezza adeguate e che si è raggiunto un livello sufficiente di protezione delle ICUE e del CIS, conformemente alla presente decisione. La dichiarazione di accreditamento determina il livello di classifica più elevato delle informazioni che può essere trattato in un CIS nonché i termini e le condizioni ivi associati.

5. Sono attuate misure di sicurezza per proteggere i CIS che trattano informazioni classificate di livello CONFIDENTIEL UE/EU CONFIDENTIAL e superiore in modo tale che tali informazioni non possano essere compromesse da radiazioni elettromagnetiche non intenzionali («misure di sicurezza TEMPEST»). Dette misure di sicurezza sono commisurate al rischio di sfruttamento e al livello di classifica delle informazioni.

6.

7. Durante la trasmissione di ICUE con mezzi elettronici si usano prodotti crittografici approvati. In deroga a tale requisito, si possono applicare procedure specifiche in particolari situazioni di emergenza o in configurazioni tecniche specifiche di cui all’allegato IV.

8. Le autorità competenti dell’SGC e degli Stati membri stabiliscono rispettivamente le seguenti funzioni relative alla IA:

1. a) un’autorità IA (IAA);

2. b) un’autorità TEMPEST (TA);

3. c) un’autorità di approvazione degli apparati crittografici (CAA);

4. d) un’autorità di distribuzione degli apparati crittografici (CDA).

9. Per ciascun sistema le autorità competenti dell’SGC e degli Stati membri stabiliscono rispettivamente:

1. a) un’autorità di accreditamento di sicurezza (SAA);

2. b) un’autorità operativa IA.

10. Le disposizioni di attuazione del presente articolo figurano nell’allegato IV.

1. Per «sicurezza industriale» si intende l’applicazione di misure che assicurino la protezione delle ICUE da parte di contraenti o subcontraenti in sede di negoziati precontrattuali e lungo tutto il ciclo di vita dei contratti classificati. Tali contratti non contemplano l’accesso alle informazioni classificate di livello TRÈS SECRET UE/EU TOP SECRET.

2. L’SGC può affidare per contratto mansioni che comportano o implicano l’accesso a, il trattamento o la conservazione di ICUE da parte di soggetti industriali o di altra natura registrati in uno Stato membro o in uno Stato terzo che abbia concluso un accordo o un’intesa amministrativa conformemente all’articolo 13, paragrafo 2, lettere a) o b).

3. In quanto autorità contraente, l’SGC, nell’aggiudicare un contratto classificato a un soggetto industriale o di altra natura, assicura il rispetto delle norme minime sulla sicurezza industriale previste nella presente decisione e a cui fa riferimento il contratto.

4. L’autorità di sicurezza nazionale (NSA), l’autorità di sicurezza designata (DSA) o qualsiasi altra autorità nazionale competente di ciascuno Stato membro assicura, per quanto possibile ai sensi delle disposizioni legislative e regolamentari nazionali, che i contraenti e i subcontraenti registrati nel suo territorio adottino tutte le misure adeguate per proteggere le ICUE nei negoziati precontrattuali e nell’esecuzione di un contratto classificato.

5. L’NSA, la DSA o qualsiasi altra autorità di sicurezza competente di ciascuno Stato membro assicura, conformemente alle disposizioni legislative e regolamentari nazionali, che i contraenti o i subcontraenti registrati nel territorio del rispettivo Stato membro, partecipanti a contratti o subcontratti classificati che richiedono l’accesso a informazioni classificate CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET nelle loro strutture dispongano, nell’esecuzione di tali contratti o nella fase precontrattuale, di un nulla osta di sicurezza delle imprese (FSC) del livello di classifica adeguato.

6. Il personale del contraente o subcontraente che, per l’esecuzione di un contratto classificato, necessita dell’accesso ad informazioni classificate CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET ottiene un nulla osta di sicurezza del personale (PSC) dalla rispettiva NSA, DSA o da altra autorità di sicurezza competente conformemente alle disposizioni legislative e regolamentari nazionali e alle norme minime di cui all’allegato I.

7. Le disposizioni di attuazione del presente articolo figurano nell’allegato V.