Decisione (UE, Euratom) 2015/444 della Commissione del 13 marzo 2015 sulle norme di sicurezza per proteggere le informazioni classificate UE
Testo vigente
LA COMMISSIONE EUROPEA,
visto il trattato sul funzionamento dell'Unione europea, in particolare l'articolo 249,
visto il trattato che istituisce la Comunità europea dell'energia atomica, in particolare l'articolo 106,
visto il protocollo n. 7 sui privilegi e le immunità dell'Unione europea allegato ai trattati, in particolare l'articolo 18,
È necessario rivedere e aggiornare le disposizioni della Commissione in materia di sicurezza per la protezione delle informazioni classificate UE (ICUE), tenendo conto degli sviluppi istituzionali, organizzativi, operativi e tecnologici.
La Commissione europea ha concluso accordi per la sicurezza delle proprie sedi principali con i governi di Belgio, Lussemburgo e Italia1.
La Commissione, il Consiglio e il Servizio europeo per l'azione esterna si impegnano ad applicare norme di sicurezza equivalenti per proteggere le ICUE.
È importante associare, ove opportuno, il Parlamento europeo e altre istituzioni, organi o organismi dell'Unione a principi, norme e regole per proteggere le informazioni classificate che sono necessari per salvaguardare gli interessi dell'Unione e dei suoi Stati membri.
Il rischio per le ICUE è gestito secondo una procedura. Tale procedura è volta a determinare i rischi noti per la sicurezza, a definire le misure di sicurezza per contenere tali rischi entro un livello accettabile conformemente ai principi fondamentali e alle norme minime stabiliti nella presente decisione, e ad applicare tali misure secondo il concetto di difesa in profondità. L'efficacia di tali misure è valutata costantemente.
Alla Commissione, per «sicurezza materiale per la protezione di informazioni classificate» si intende l'applicazione di misure di protezione materiali e tecniche volte a impedire l'accesso non autorizzato alle ICUE.
Per «gestione delle ICUE» si intende l'applicazione delle misure amministrative intese a controllare le ICUE per tutto il loro ciclo di vita, al fine di integrare le misure previste ai capi 2, 3 e 5 della presente decisione e in tal modo contribuire a scoraggiare e scoprire casi di compromissione o perdita intenzionale o accidentale di tali informazioni. Dette misure riguardano in particolare la creazione, l'archiviazione, la registrazione, la copiatura, la traduzione, il declassamento, la declassificazione, il trasporto e la distruzione di ICUE e integrano le norme generali della Commissione sulla gestione dei documenti [decisioni 2002/47/CE2, CECA, Euratom e 2004/563/CE, Euratom3].
Le disposizioni della presente decisione non pregiudicano:
a) il regolamento (Euratom) n. 34;
b) il regolamento (CE) n. 1049/2001 del Parlamento europeo e del Consiglio5;
c) il regolamento (CE) n. 45/2001 del Parlamento europeo e del Consiglio6;
d) il regolamento (CEE, Euratom) n. 354/83 del Consiglio7,
HA ADOTTATO LA PRESENTE DECISIONE:
Capo 1. Principi fondamentali e norme minime di sicurezza
Art. 1 Definizioni
Ai fini della presente decisione si intende per:
1) «servizio della Commissione», direzioni generali, servizi della Commissione o gabinetti dei membri della Commissione;
2) «materiale crittografico (crypto)», algoritmi crittografici, moduli hardware e software crittografici e prodotti comprendenti dettagli di attuazione e documentazione associata e materiale di codifica;
3) «declassificazione», la soppressione di qualsiasi classifica di sicurezza;
4) «difesa in profondità», l'applicazione di una serie di misure di sicurezza organizzate come fasi multiple di difesa;
5) «documento», qualsiasi informazione registrata, a prescindere dalla sua forma o dalle sue caratteristiche materiali;
6) «declassamento», una riduzione del livello di classifica di sicurezza;
7) «trattamento» delle ICUE, qualsiasi azione di cui possono essere oggetto le ICUE nel loro ciclo di vita. Ciò comprende la loro creazione, registrazione, elaborazione, trasporto, declassamento, declassificazione e distruzione. In relazione ai sistemi di comunicazione e informazione (CIS) il trattamento comprende anche la raccolta, la visualizzazione, la trasmissione e la conservazione;
8) «detentore», una persona debitamente autorizzata con una necessità di conoscere stabilita, che detiene un elemento di ICUE ed è di conseguenza responsabile della sua protezione;
9) «norme di attuazione», l'insieme di norme o di comunicazioni di sicurezza adottate in conformità al capo 5 della decisione (UE, Euratom) 2015/443 della Commissione8;
10) «materiale», qualsiasi mezzo, vettore di dati o elemento di macchinario o attrezzatura, sia sotto forma di prodotto finito sia in corso di lavorazione;
11) «originatore», un'istituzione, agenzia o organo dell'Unione, Stato membro, Stato terzo o organizzazione internazionale sotto la cui autorità sono state create e/o introdotte nelle strutture dell'Unione informazioni classificate;
12) «locali», beni immobili o assimilabili della Commissione;
13) «procedura di gestione del rischio di sicurezza», l'intera procedura che consiste nell'individuare, controllare e ridurre al minimo eventi incerti che possono incidere sulla sicurezza di un'organizzazione o di un qualsiasi sistema in uso. Essa contempla tutte le attività correlate al rischio, tra cui la valutazione, il trattamento, l'accettazione e la comunicazione;
14) «statuto», lo statuto dei funzionari dell'Unione europea e il regime applicabile agli altri agenti dell'Unione europea definiti dal regolamento (CEE, Euratom, CECA) n. 259/68 del Consiglio9;
15) «minaccia», causa potenziale di un incidente indesiderato che può recar danno a un'organizzazione o a uno dei sistemi in uso; tali minacce possono essere accidentali o intenzionali (dolose) e sono caratterizzate da elementi di minaccia, potenziali obiettivi e metodologie d'attacco;
16) «vulnerabilità», una debolezza di qualsiasi tipo che una o più minacce possono sfruttare. La vulnerabilità può derivare da un'omissione o essere legata a una debolezza nei controlli in termini di rigore, completezza o coerenza e può essere di natura tecnica, procedurale, materiale, organizzativa od operativa.
Art. 2 Oggetto e campo di applicazione
1. La presente decisione stabilisce i principi fondamentali e le norme minime di sicurezza per proteggere le ICUE.
2. La presente decisione si applica a tutti i servizi e in tutti i locali della Commissione.
3. Fatte salve indicazioni specifiche relative a particolari categorie del personale, la presente decisione si applica ai membri della Commissione, al personale della Commissione soggetto allo statuto dei funzionari dell'Unione europea e regime applicabile agli altri agenti dell'Unione, agli esperti nazionali distaccati presso la Commissione (END), ai prestatori di servizi e al loro personale, ai tirocinanti e alle persone che hanno accesso a fabbricati o altre risorse della Commissione, o alle informazioni trattate dalla Commissione.
4. Le disposizioni della presente decisione non pregiudicano la decisione 2002/47/CE, CECA, Euratom e la decisione 2004/563/CE, Euratom.
Art. 3 Definizione delle ICUE, delle classifiche e dei contrassegni di sicurezza
1. Per «informazioni classificate UE» (ICUE) si intende qualsiasi informazione o qualsiasi materiale designati da una classifica di sicurezza UE, la cui divulgazione non autorizzata potrebbe recare in varia misura pregiudizio agli interessi dell'Unione europea o di uno o più Stati membri.
2. Le ICUE sono classificate a uno dei seguenti livelli:
a) TRES SECRET UE/EU TOP SECRET: informazioni e materiali la cui divulgazione non autorizzata potrebbe arrecare danni di eccezionale gravità agli interessi fondamentali dell'Unione europea o di uno o più Stati membri;
b) SECRET UE/EU SECRET: informazioni e materiali la cui divulgazione non autorizzata potrebbe ledere gravemente gli interessi fondamentali dell'Unione europea o di uno o più Stati membri;
c) CONFIDENTIEL UE/EU CONFIDENTIAL: informazioni e materiali la cui divulgazione non autorizzata potrebbe ledere gli interessi fondamentali dell'Unione europea o di uno o più Stati membri;
d) RESTREINT UE/EU RESTRICTED: informazioni e materiali la cui divulgazione non autorizzata potrebbe essere pregiudizievole per gli interessi dell'Unione europea o di uno o più Stati membri.
3. Le ICUE recano un contrassegno di classifica di sicurezza conformemente al paragrafo 2. Esse possono recare contrassegni supplementari diversi dai contrassegni di classifica di sicurezza intesi a designare il settore di attività cui si riferiscono, identificare l'originatore, limitare la distribuzione, restringere l'uso o indicare la divulgabilità.
Art. 4 Gestione delle classifiche
1. Tutti i membri e i servizi della Commissione garantiscono che le ICUE create siano adeguatamente classificate, chiaramente identificate quali ICUE e conservino il loro livello di classifica solo per il tempo necessario.
2. Fatto salvo l'articolo 26, le ICUE non sono declassate o declassificate né i contrassegni di classifica di sicurezza di cui all'articolo 3, paragrafo 2, sono modificati o rimossi senza il previo consenso scritto dell'originatore.
3. Ove opportuno, si adottano «norme di attuazione» sul trattamento delle ICUE, compresa una guida pratica alla classificazione, a norma dell'articolo 60.
Art. 5 Protezione di informazioni classificate
1. Le ICUE sono protette conformemente alla presente decisione e alle sue norme di attuazione.
2. Il detentore di qualsiasi ICUE è responsabile della sua protezione, a norma della presente decisione e delle relative norme di attuazione, in base alle regole stabilite al capo 4.
3. Quando gli Stati membri introducono informazioni classificate che recano un contrassegno di classifica di sicurezza nazionale nelle strutture o nelle reti della Commissione, quest'ultima protegge tali informazioni conformemente ai requisiti applicabili alle ICUE di livello equivalente come indicato nella tabella di equivalenza delle classifiche di sicurezza che figura nell'allegato I.
4. Un insieme di ICUE può richiedere un livello di protezione corrispondente a una classifica più elevata di quella dei singoli componenti.
Art. 6 Gestione del rischio di sicurezza
1. Le misure di sicurezza per proteggere le ICUE nel corso del loro ciclo di vita sono commisurate in particolare alla rispettiva classifica di sicurezza, alla forma e al volume delle informazioni o dei materiali, all'ubicazione e alla costruzione delle strutture in cui sono conservate le ICUE e alla valutazione a livello locale della minaccia di attività dolose e/o criminali, compreso lo spionaggio, il sabotaggio e il terrorismo.
2. I piani di emergenza tengono conto della necessità di proteggere le ICUE in situazioni di emergenza onde evitare l'accesso non autorizzato, la divulgazione o la perdita di integrità o di disponibilità.
3. I piani di continuità operativa di tutti i servizi comprendono misure di prevenzione e recupero per minimizzare l'impatto di disfunzioni o incidenti gravi nel trattamento e nella conservazione delle ICUE.
Art. 7 Attuazione della presente decisione
1. Ove opportuno, vengono adottate norme di attuazione intese a integrare o sostenere la presente decisione a norma dell'articolo 60.
2. I servizi della Commissione adottano tutte le misure necessarie che rientrano nelle loro competenze per garantire l'applicazione della presente decisione, e delle pertinenti norme di attuazione, nel trattamento o nella conservazione delle ICUE o di altre informazioni classificate.
3. Le misure di sicurezza adottate nell'attuare la presente decisione devono essere conformi ai principi per la sicurezza nella Commissione stabiliti all'articolo 3 della decisione (UE, Euratom) 2015/443.
4. Il direttore generale delle risorse umane e della sicurezza istituisce l'autorità di sicurezza della Commissione all'interno della propria direzione generale. All'autorità di sicurezza della Commissione sono assegnate le responsabilità stabilite dalla presente decisione e dalle sue norme di attuazione.
5. In tutti i servizi della Commissione, al responsabile locale della sicurezza, come stabilito all'articolo 20 della decisione (UE, Euratom) 2015/443, saranno assegnate le seguenti responsabilità generali per la protezione delle ICUE sulla base della presente decisione, in stretta collaborazione con la direzione generale Risorse umane e sicurezza:
a) gestione delle richieste di autorizzazioni di sicurezza per il personale;
b) collaborazione alle formazioni in materia di sicurezza e alle riunioni di sensibilizzazione;
c) supervisione del funzionario responsabile del controllo delle registrazioni (RCO) del servizio;
d) comunicazione delle violazioni della sicurezza e della compromissione di ICUE;
e) conservazione delle chiavi di riserva e di una traccia scritta di tutte le combinazioni;
f) assunzione di altre mansioni legate alla protezione di ICUE o stabilite dalle norme di attuazione.
Art. 8 Violazioni della sicurezza e compromissione di ICUE
1. La violazione della sicurezza è conseguenza di un atto o omissione di una persona contrario alle norme di sicurezza contenute nella presente decisione e nelle sue norme di attuazione.
2. La compromissione di ICUE si verifica quando, in seguito a una violazione della sicurezza, le ICUE sono state diffuse in tutto o in parte a persone non autorizzate.
3. Qualsiasi violazione o sospetta violazione della sicurezza è immediatamente riferita all'autorità di sicurezza della Commissione.
4. Qualora sia noto o vi siano ragionevoli motivi di ritenere che vi sia stata compromissione o perdita di ICUE, è necessario svolgere un'indagine di sicurezza a norma dell'articolo 13 della decisione (UE, Euratom) 2015/443.
5. È necessario adottare tutte le misure necessarie a:
a) informare l'originatore;
b) assicurare che personale non direttamente interessato alla violazione indaghi sul caso per accertare i fatti;
c) valutare i potenziali danni agli interessi dell'Unione o degli Stati membri;
d) adottare i provvedimenti opportuni per impedire che i fatti si ripetano; e
e) informare le autorità competenti delle misure adottate.
6. Ogni persona responsabile di una violazione delle norme di sicurezza contenute nella presente decisione è passibile di azione disciplinare conformemente allo statuto. Ogni persona responsabile della compromissione o della perdita di ICUE è passibile di sanzioni disciplinari e/o azioni legali conformemente alle disposizioni legislative, normative e regolamentari applicabili.
Capo 2. Sicurezza del personale
Art. 9 Definizioni
Ai fini del presente capo si intende per:
1) «autorizzazione di accesso alle ICUE», una decisione dell'autorità di sicurezza della Commissione adottata sulla base dell'assicurazione data da un'autorità competente di uno Stato membro in base alla quale un funzionario o altro agente o esperto nazionale distaccato può, quando sia stata accertata la sua necessità di conoscere e una volta istruito sulle proprie responsabilità, avere accesso alle ICUE fino a un livello di classifica specifico (CONFIDENTIEL UE/EU CONFIDENTIAL o superiore) e fino a una data stabilita; la persona che risponde a tale descrizione è indicata come in possesso del «nulla osta di sicurezza»;
2) «autorizzazione di sicurezza del personale», l'applicazione di misure volte a garantire che l'accesso alle ICUE sia consentito solo alle persone che:
a) hanno necessità di conoscere;
b) hanno ottenuto il nulla osta di sicurezza del livello adatto, ove opportuno; e
c) sono state informate delle proprie responsabilità.
3) «nulla osta di sicurezza del personale» (PSC), una dichiarazione dell'autorità competente di uno Stato membro fatta al termine di un'indagine di sicurezza condotta dalle autorità competenti di uno Stato membro e attestante che una persona, quando sia stata accertata la sua necessità di conoscere e una volta istruita sulle proprie responsabilità, può avere accesso alle ICUE fino a un livello di classifica specifico (CONFIDENTIEL UE/EU CONFIDENTIAL o superiore) e a una data stabilita;
4) «certificato di nulla osta di sicurezza del personale» (PSCC), un certificato rilasciato dall'autorità competente attestante che una persona ha ottenuto il nulla osta di sicurezza o possiede un'autorizzazione di accesso alle ICUE rilasciata dall'autorità di sicurezza della Commissione in corso di validità, in cui figura il livello di ICUE cui detta persona può accedere (CONFIDENTIEL UE/EU CONFIDENTIAL o superiore), la data di validità del relativo nulla osta o autorizzazione e la data di scadenza del certificato stesso;
5) «indagine di sicurezza», le procedure investigative condotte dall'autorità competente di uno Stato membro conformemente alle disposizioni legislative e regolamentari nazionali volte ad accertare l'inesistenza di informazioni negative note sul conto di una persona che osterebbero alla concessione di un nulla osta di sicurezza fino a un livello specifico CONFIDENTIEL UE/EU CONFIDENTIAL o superiore);
Art. 10 Principi di base
1. Una persona è autorizzata ad accedere ad ICUE dopo che:
1) sia stata accertata la sua necessità di conoscere;
2) sia stata istruita sulle norme di sicurezza per la protezione delle ICUE, nonché sulle norme e gli orientamenti di sicurezza pertinenti, ed abbia riconosciuto le proprie responsabilità in materia di protezione di tali informazioni;
3) per le informazioni classificate di livello CONFIDENTIEL UE/EU CONFIDENTIAL e superiore, abbia ottenuto il nulla osta di sicurezza del livello adatto o sia in altro modo debitamente autorizzata in virtù delle proprie funzioni secondo le disposizioni legislative e regolamentari nazionali;
2. Tutte le persone le cui mansioni richiedono l'accesso a ICUE di livello CONFIDENTIEL UE/EU CONFIDENTIAL o superiore dispongono del nulla osta di sicurezza del livello adatto prima di poter accedere a dette ICUE. La persona interessata esprime per iscritto il proprio consenso a essere soggetta alla procedura per il nulla osta di sicurezza del personale. In mancanza di detto consenso, alla persona non possono essere assegnati posti, funzioni o mansioni che prevedano l'accesso a informazioni classificate al livello CONFIDENTIEL UE/EU CONFIDENTIAL o superiore.
3. Le procedure per il nulla osta di sicurezza del personale sono intese a determinare se una persona, in considerazione della sua lealtà, onestà e affidabilità, può essere autorizzata ad accedere alle ICUE.
4. La lealtà, l'onestà e l'affidabilità di una persona ai fini della concessione di un nulla osta di sicurezza per l'accesso a informazioni classificate di livello CONFIDENTIEL UE/EU CONFIDENTIAL o superiore sono accertate mediante un'indagine di sicurezza condotta dall'autorità competente di uno Stato membro conformemente alle disposizioni legislative e regolamentari nazionali.
5. L'autorità di sicurezza della Commissione è l'unica autorizzata a mantenere un collegamento con le autorità di sicurezza nazionali o altre autorità nazionali competenti per quanto riguarda tutti i nulla osta di sicurezza. Tutti i contatti tra i servizi della Commissione, il loro personale, le autorità di sicurezza nazionali e altre autorità competenti avvengono attraverso l'autorità di sicurezza della Commissione.
Art. 11 Procedura di autorizzazione di sicurezza
1. I direttori generali o i capi servizio della Commissione individuano all'interno del proprio servizio le persone che necessitano di accedere a informazioni classificate di livello CONFIDENTIEL UE/EU CONFIDENTIAL o superiore per svolgere le proprie mansioni e che pertanto necessitano di un'autorizzazione di sicurezza.
2. Non appena sia noto che una persona assumerà una posizione che necessita dell'accesso a informazioni classificate di livello CONFIDENTIEL UE/EU CONFIDENTIAL o superiore, il responsabile locale della sicurezza del servizio della Commissione interessato informa l'autorità di sicurezza della Commissione, che trasmette alla persona il questionario per il nulla osta di sicurezza emesso dall'autorità di sicurezza nazionale dello Stato membro con la cui nazionalità la persona è stata assunta come membro del personale delle istituzioni europee. L'interessato esprime in forma scritta il proprio consenso a essere sottoposto alla procedura per il nulla osta di sicurezza e restituisce al più presto il questionario all'autorità di sicurezza della Commissione.
3. L'autorità di sicurezza della Commissione trasmette il questionario per il nulla osta di sicurezza compilato all'autorità di sicurezza nazionale dello Stato membro con la cui nazionalità la persona è stata assunta come membro del personale delle istituzioni europee, chiedendo di avviare un'indagine di sicurezza per il livello di ICUE a cui la persona può chiedere di accedere.
4. Se viene a conoscenza di informazioni rilevanti per l'indagine di sicurezza relativa a una persona che ha chiesto un nulla osta di sicurezza, l'autorità di sicurezza della Commissione le comunica all'autorità di sicurezza nazionale competente conformemente alle pertinenti disposizioni legislative e regolamentari.
5. Al termine dell'indagine di sicurezza e non appena possibile dopo aver ricevuto la comunicazione da parte della pertinente autorità di sicurezza nazionale circa la valutazione generale dei risultati dell'indagine, l'autorità di sicurezza della Commissione:
a) può concedere un'autorizzazione per accedere alle ICUE alla persona interessata e autorizzare l'accesso alle ICUE fino al livello pertinente fino a una data specificata dalla persona ma per cinque anni al massimo, qualora dall'indagine di sicurezza emerga la garanzia dell'inesistenza di informazioni negative note che metterebbero in discussione la lealtà, l'onestà e l'affidabilità della persona;
b) se dall'indagine di sicurezza non emerge tale garanzia, conformemente alle pertinenti disposizioni legislative e regolamentari, ne dà comunicazione alla persona interessata, la quale può chiedere di essere ascoltata dall'autorità di sicurezza della Commissione, che a sua volta può rivolgersi all'autorità di sicurezza nazionale competente per ulteriori chiarimenti che quest'ultima può fornire in base alle disposizioni legislative e regolamentari nazionali. In caso di riconferma dell'esito dell'indagine di sicurezza, l'autorizzazione ad accedere alle ICUE non può essere concessa.
6. L'indagine di sicurezza e relativi risultati sono soggetti alle pertinenti disposizioni legislative e regolamentari vigenti nello Stato membro in questione, ivi comprese quelle relative ai ricorsi. Le decisioni dell'autorità di sicurezza della Commissione sono soggette a ricorso conformemente allo statuto.
7. La Commissione accetta l'autorizzazione di accesso alle ICUE rilasciata da qualsiasi altra istituzione, organo o organismo dell'Unione, purché in corso di validità. L'autorizzazione copre qualsiasi incarico della persona interessata nella Commissione. L'istituzione, l'organo o l'agenzia dell'Unione in cui persona interessata è assunta notifica all'autorità di sicurezza nazionale competente il cambiamento del datore di lavoro.
8. Se il periodo di servizio di una persona non inizia entro dodici mesi dalla comunicazione dell'esito dell'indagine di sicurezza all'autorità di sicurezza della Commissione o se vi è un'interruzione del servizio di dodici mesi, durante la quale la persona non ha occupato un posto presso la Commissione o qualunque altra istituzione, organo o agenzia dell'Unione o presso l'amministrazione di uno Stato membro, l'autorità di sicurezza della Commissione riferisce la questione all'autorità di sicurezza nazionale, affinché questa confermi se il nulla osta di sicurezza resta valido e pertinente.
9. Se viene a conoscenza di informazioni concernenti un rischio per la sicurezza posto da una persona in possesso di un'autorizzazione di sicurezza valida, l'autorità di sicurezza della Commissione le comunica all'autorità di sicurezza nazionale competente in conformità alle pertinenti disposizioni legislative e regolamentari.
10. Se un'autorità di sicurezza nazionale (NSA) comunica all'autorità di sicurezza della Commissione il ritiro della garanzia fornita conformemente al paragrafo 5, lettera a), per una persona in possesso di un'autorizzazione di accesso alle ICUE valida, l'autorità di sicurezza della Commissione può chiederle i chiarimenti che è in grado di fornire conformemente alle sue disposizioni legislative e regolamentari nazionali. Se le informazioni negative sono confermate dall'autorità di sicurezza nazionale, l'autorizzazione di sicurezza è ritirata e la persona in questione è esclusa dall'accesso alle ICUE e da posti nei quali tale accesso sia possibile o nei quali la persona potrebbe mettere a repentaglio la sicurezza.
11. La decisione di ritirare o sospendere un'autorizzazione di accesso alle ICUE ad una persona che rientra nel campo di applicazione della presente decisione e, se opportuno, i relativi motivi devono essere comunicati alla persona interessata la quale può chiedere di essere ascoltata dall'autorità di sicurezza della Commissione. Le informazioni fornite dall'NSA devono essere soggette alle pertinenti disposizioni legislative e regolamentari vigenti nello Stato membro in questione. Le decisioni adottate dall'autorità di sicurezza della Commissione in questo ambito sono soggette a ricorso conformemente allo statuto.
12. I servizi della Commissione si assicurano che gli esperti nazionali distaccati per un posto che richiede l'accesso alle ICUE presentino, prima di assumere l'incarico, un nulla osta di sicurezza del personale o un certificato di nulla osta di sicurezza del personale, conformemente alle disposizioni legislative e regolamentari nazionali, all'autorità di sicurezza della Commissione che, su tale base, rilascia un'autorizzazione di sicurezza per accedere alle ICUE fino al livello equivalente a quello indicato nel nulla osta di sicurezza nazionale, con una validità massima equivalente alla durata del loro incarico.
Accesso alle ICUE per le persone debitamente autorizzate sulla base delle loro funzioni 13. I membri della Commissione che hanno accesso alle ICUE in virtù delle proprie funzioni sulla base del trattato devono essere messi al corrente degli obblighi di sicurezza in un'ottica di tutela delle ICUE. Registrazioni dei nulla osta e delle autorizzazioni di sicurezza 14. Le registrazioni dei nulla osta e delle autorizzazioni di sicurezza rilasciati per accedere alle ICUE devono essere conservate dall'autorità di sicurezza della Commissione a norma della presente decisione. In tali registrazioni figurano almeno il livello di ICUE cui può accedere la persona in questione, la data di concessione del nulla osta di sicurezza e il periodo di validità. 15. L'autorità di sicurezza della Commissione può rilasciare un PSCC in cui figurano il livello di ICUE cui può accedere la persona in questione (CONFIDENTIEL UE/EU CONFIDENTIAL o superiore), la data di validità della relativa autorizzazione di accesso alle ICUE e la data di scadenza del certificato stesso. Rinnovo delle autorizzazioni di sicurezza 16. Dopo la concessione iniziale delle autorizzazioni di sicurezza e purché la persona abbia prestato servizio ininterrottamente presso la Commissione europea o altre istituzioni, organi o agenzie dell'Unione e continui ad avere bisogno di accedere alle ICUE, l'autorizzazione di sicurezza per accedere alle ICUE è riesaminata ai fini del rinnovo, di norma, ogni cinque anni dalla data di comunicazione dell'esito dell'ultima indagine di sicurezza su cui si basava. 17. L'autorità di sicurezza della Commissione può estendere la validità dell'autorizzazione di sicurezza esistente fino a dodici mesi, se non sono state ricevute informazioni negative dall'autorità di sicurezza nazionale o da un'altra autorità nazionale competente entro due mesi dalla data di trasmissione della richiesta di rinnovo e del corrispondente questionario per il nulla osta di sicurezza. Se al termine dei dodici mesi la pertinente autorità di sicurezza nazionale o un'altra autorità nazionale competente non ha comunicato il proprio parere all'autorità di sicurezza della Commissione, alla persona in questione devono essere assegnate mansioni che non necessitano di un'autorizzazione di sicurezza.