diritto.io

Decisione (UE, Euratom) 2015/444 della Commissione del 13 marzo 2015 sulle norme di sicurezza per proteggere le informazioni classificate UE

Testo vigente

Capo 4. Gestione delle informazioni classificate dell'ue

Art. 21 Principi di base

1. Tutti i documenti ICUE devono essere gestiti conformemente alla politica di gestione dei documenti della Commissione e di conseguenza registrati, archiviati, conservati e infine eliminati, sottoposti a campionamento o trasferiti agli archivi storici in base all'elenco comune di conservazione a livello della Commissione per i fascicoli dell'Unione europea.

2. Le informazioni classificate di livello CONFIDENTIEL UE/EU CONFIDENTIAL o superiore sono registrate a fini di sicurezza prima della diffusione e all'atto della ricezione. Le informazioni classificate di livello TRÈS SECRET UE/EU TOP SECRET sono registrate in uffici di registrazione dedicati.

3. Alla Commissione è istituito un sistema di registrazione dell'ICUE conformemente alle disposizioni dell'articolo 27.

4. I servizi e i locali in cui sono trattate o conservate ICUE sono sottoposti a ispezioni periodiche da parte dell'autorità di sicurezza della Commissione.

5. Le ICUE sono veicolate tra i servizi e i locali al di fuori delle zone oggetto di protezione materiale secondo le modalità seguenti:

  1. a) di norma, le ICUE sono trasmesse con mezzi elettronici protetti mediante prodotti crittografici approvati conformemente al capo 5;

  2. b) qualora non siano usati i mezzi di cui alla lettera a), le ICUE sono trasportate:

    1. i) su supporti elettronici (ad esempio chiave USB, CD, disco rigido) protetti mediante prodotti crittografici approvati conformemente al capo 5; o

    2. ii) in tutti gli altri casi, come stabilito nelle norme di attuazione.

Art. 22 Classifiche e contrassegni

1. Le informazioni sono classificate quando devono essere protette con riferimento alla loro riservatezza conformemente all'articolo 3, paragrafo 1.

2. L'originatore delle ICUE è incaricato di determinare il livello di classifica di sicurezza, conformemente alle norme di attuazione, alle norme e agli orientamenti in materia di classifica, e della diffusione iniziale delle informazioni.

3. Il livello di classifica dell'ICUE è stabilito conformemente all'articolo 3, paragrafo 2, e alle pertinenti norme di attuazione.

4. La classifica di sicurezza è chiaramente e correttamente indicata, indipendentemente dal fatto che le ICUE siano in forma cartacea, orale, elettronica o in altra forma.

5. Le singole parti di un determinato documento (ad esempio pagine, paragrafi, sezioni, annessi, appendici, allegati e materiale accluso) possono richiedere classifiche differenti e sono contraddistinte di conseguenza anche nel caso in cui siano conservate in forma elettronica.

6. Il livello generale di classifica di un documento o file è almeno quello del suo componente con livello di classifica più elevato. Quando si riprendono informazioni da varie fonti, il prodotto finale è riesaminato per determinarne il livello generale di classifica di sicurezza, in quanto può richiedere una classifica più elevata di quella dei suoi componenti.

7. Per quanto possibile, i documenti che contengono parti con livelli di classifica diversi sono impostati in modo che le parti con un livello di classifica diverso possano essere facilmente individuate e, se necessario, separate.

8. La classifica di una lettera o di una nota che comprende materiale accluso corrisponde a quello dell'elemento accluso con livello di classifica più elevato. L'originatore indica chiaramente il livello di classifica della lettera o della nota quando è separata dal materiale accluso mediante un contrassegno adeguato, ad esempio:

CONFIDENTIEL UE/EU CONFIDENTIAL

Senza allegato/i RESTREINT UE/EU RESTRICTED

Art. 23 Contrassegni

Oltre a uno dei contrassegni di classifica di sicurezza di cui all'articolo 3, paragrafo 2, le ICUE possono recare altri contrassegni quali:

  1. a) un identificatore per designare l'originatore;

  2. b) avvertenze, parole chiave o acronimi per specificare il settore di attività cui si riferisce il documento, una distribuzione particolare sulla base del principio della necessità di conoscere o restrizioni d'uso;

  3. c) contrassegni di divulgabilità;

  4. d) se del caso, la data o un evento specifico a seguito dei quali possono essere declassate o declassificate.

Art. 24 Contrassegni di classifica abbreviati

1. Contrassegni di classifica abbreviati standard possono essere usati per indicare il livello di classifica di singoli paragrafi di un testo. Le abbreviazioni non sostituiscono i contrassegni di classifica per esteso.

2. Le seguenti abbreviazioni standard possono essere usate nei documenti classificati UE per indicare il livello di classifica di sezioni o parti del testo di dimensioni inferiori a una pagina:

TRES SECRET UE/EU TOP SECRET TS-UE/EU-TS

SECRET UE/EU SECRET S-UE/EU-S

CONFIDENTIEL UE/EU CONFIDENTIAL C-UE/EU-C

RESTREINT UE/EU RESTRICTED R-UE/EU-R

Art. 25 Creazione di ICUE

1. Quando si produce un documento classificato UE:

  1. a) ciascuna pagina è contrassegnata chiaramente con il livello di classifica;

  2. b) ciascuna pagina è numerata;

  3. c) il documento reca un numero di riferimento e un oggetto che non è in sé un'informazione classificata, a meno che non sia contrassegnato come tale;

  4. d) il documento è datato;

  5. e) i documenti classificati di livello SECRET UE/EU SECRET o superiore, se devono essere distribuiti in più copie, recano un numero di copia sul ciascuna pagina.

2. Qualora non sia possibile applicare il paragrafo 1 alle ICUE, sono adottate altre misure appropriate conformemente alle norme di attuazione.

Art. 26 Declassamento e declassificazione delle ICUE

1. Al momento della creazione delle ICUE l'originatore indica, laddove possibile, se possono essere declassate o declassificate ad una certa data o in seguito ad un dato evento.

2. I servizi della Commissione riesaminano periodicamente le ICUE di cui sono originatori per accertare che il livello di classifica sia ancora applicabile. Le norme di attuazione stabiliscono un sistema per riesaminare almeno ogni cinque anni il livello di classifica delle ICUE registrate delle quali la Commissione è l'originatore. Tale riesame non è necessario se l'originatore ha indicato fin dall'inizio che le informazioni saranno automaticamente declassate o declassificate e se le informazioni sono state contrassegnate di conseguenza.

3. Le informazioni classificate di livello RESTREINT UE/EU RESTRICTED di cui la Commissione è l'originatore saranno considerate automaticamente declassificate dopo trent'anni, conformemente al regolamento (CEE, Euratom) n. 354/83 modificato dal regolamento (CE, Euratom) n. 1700/2003 del Consiglio10.

Art. 27 Sistema di registrazione delle ICUE in Commissione

1. Fatto salvo l'articolo 52, paragrafo 5, in tutti i servizi della Commissione in cui sono trattate o conservate ICUE di livello CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET occorre identificare un ufficio di registrazione locale delle ICUE per assicurarne un trattamento conforme alla presente decisione.

2. L'ufficio di registrazione delle ICUE gestito dal segretariato generale è l'ufficio centrale di registrazione delle ICUE della Commissione. Esso funge da:

ufficio di registrazione locale delle ICUE per il segretariato generale della Commissione,

ufficio di registrazione delle ICUE per gli uffici privati dei membri della Commissione, a meno che essi non dispongano di ufficio locale di registrazione delle ICUE specifico,

ufficio di registrazione delle ICUE per le direzioni generali o i servizi che non dispongono di un ufficio di registrazione locale delle ICUE,

principale punto d'ingresso e uscita per tutti gli scambi di informazioni classificate di livello RESTREINT UE/EU RESTRICTED e superiore fino al livello SECRET UE/EU SECRET tra la Commissione e i propri servizi e gli Stati terzi e le organizzazioni internazionali e, se previsto in base ad accordi specifici, per altre istituzioni, agenzie e organi dell'Unione.

3. Alla Commissione l'autorità di sicurezza della Commissione designa un ufficio di registrazione che funge da autorità centrale ricevente e trasmittente delle informazioni classificate TRÈS SECRET UE/EU TOP SECRET. Per il trattamento di tali informazioni a fini di registrazione possono essere designati, se necessario, uffici dipendenti.

4. Gli uffici dipendenti non possono trasmettere documenti di livello TRÈS SECRET UE/EU TOP SECRET direttamente ad altri uffici dipendenti dello stesso ufficio centrale di registrazione TRÈS SECRET UE/EU TOP SECRET o all'esterno senza l'esplicito accordo di quest'ultimo.

5. Gli uffici di registrazione sono costituiti in zone protette, come stabilito al capo 3, e accreditati dall'autorità di accreditamento in materia di sicurezza della Commissione.

Art. 28 Funzionario responsabile del controllo delle registrazioni

1. Tutti gli uffici di registrazione delle ICUE sono gestiti da un funzionario responsabile del controllo delle registrazioni (RCO).

2. L'RCO deve essere munito di apposito nulla osta di sicurezza.

3. L'RCO è soggetto alla supervisione del responsabile locale della sicurezza del servizio della Commissione per quanto attiene all'applicazione delle disposizioni sul trattamento delle ICUE e al rispetto delle pertinenti misure, norme e orientamenti di sicurezza.

4. Nell'ambito delle proprie responsabilità di gestione dell'ufficio di registrazione delle ICUE cui è stato assegnato, all'RCO saranno assegnate le seguenti responsabilità generali conformemente alla presente decisione e alle norme di attuazione, standard e orientamenti corrispondenti:

gestire le operazioni relative alla registrazione, conservazione, riproduzione, traduzione, trasmissione, spedizione e distruzione o trasferimento al servizio dell'archivio storico delle ICUE,

verificare periodicamente la necessità di mantenere la classificazione delle informazioni,

assumere altre mansioni legate alla protezione delle ICUE stabilite nelle norme di attuazione.

Art. 29 Registrazione di ICUE a fini di sicurezza

1. Ai fini della presente decisione, per registrazione a fini di sicurezza («registrazione») si intende l'applicazione di procedure che registrano il ciclo di vita delle ICUE, compresa la diffusione.

2. Le informazioni o i materiali classificati di livello CONFIDENTIEL UE/EU CONFIDENTIAL e superiore sono registrati in uffici di registrazione dedicati quando entrano o lasciano un'entità organizzativa.

3. Quando l'ICUE è trattata o conservata mediante un sistema di comunicazione e informazione (CIS), le procedure di registrazione possono essere eseguite mediante procedure interne allo stesso CIS.

4. Disposizioni più dettagliate relative alla registrazione delle ICUE a fini di sicurezza figureranno nelle norme di attuazione.

Art. 30 Riproduzione e traduzione di documenti classificati UE

1. I documenti di livello TRÈS SECRET UE/EU TOP SECRET possono essere riprodotti o tradotti solo previo consenso scritto dell'originatore.

2. Se l'originatore di documenti classificati di livello SECRET UE/EU SECRET o inferiore non ha imposto limitazioni alla riproduzione o alla traduzione, detti documenti possono essere riprodotti o tradotti su istruzione del detentore.

3. Le misure di sicurezza applicabili al documento originale si applicano alle copie e alle traduzioni.

Art. 31 Trasporto delle ICUE

1. Le ICUE sono trasportate in modo da proteggerle da divulgazione non autorizzata durante il trasporto.

2. Il trasporto di ICUE è soggetto a misure di protezione che sono:

commisurate al livello di classifica delle ICUE trasportate, e

adattate alle condizioni specifiche di trasporto, in particolare se le ICUE sono trasportate:

all'interno di un edificio della Commissione o di un gruppo autonomo di edifici della Commissione,

tra edifici della Commissione situati nello stesso Stato membro,

all'interno dell'Unione,

dall'Unione al territorio di uno Stato terzo, e

adeguate alla natura e alla forma delle ICUE.

3. Le misure di protezione sono specificate nelle norme di attuazione o, nel caso di progetti e programmi di cui all'articolo 42, sono parte integrante delle pertinenti istruzioni di sicurezza del programma/progetto (PSI).

4. Le norme di attuazione o le PSI comprendono disposizioni commisurate al livello delle ICUE, in merito:

al tipo di trasporto, vale a dire il trasporto a mano, il trasporto tramite valigia diplomatica o corriere militare, il trasporto mediante servizi postali o servizi di corriere commerciale,

al confezionamento delle ICUE,

alle contromisure tecniche per le ICUE trasportate con mezzi elettronici,

ad altre misure procedurali, fisiche o elettroniche,

alle procedure di registrazione,

al ricorso a personale di sicurezza autorizzato.

5. Se le ICUE sono trasportate con mezzi elettronici, e in deroga all'articolo 21, paragrafo 5, le misure di protezione stabilite nelle pertinenti norme di attuazione possono essere integrate da opportune contromisure tecniche prescritte dall'autorità di sicurezza della Commissione per minimizzare il rischio di perdita o di compromissione.

Art. 32 Distruzione di ICUE

1. I documenti classificati UE che non sono più necessari possono essere distrutti, tenendo conto dei regolamenti in materia di archiviazione e delle norme e dei regolamenti della Commissione sulla gestione e l'archiviazione dei documenti, in particolare l'elenco comune di conservazione a livello della Commissione.

2. Le ICUE di livello CONFIDENTIEL UE/EU CONFIDENTIAL e superiore sono distrutte dall'RCO dell'ufficio di registrazione delle ICUE competente su istruzione del detentore o di un'autorità competente. L'RCO aggiorna di conseguenza i repertori e gli altri dati relativi alla registrazione.

3. Per i documenti classificati SECRET UE/EU SECRET o TRÈS SECRET UE/EU TOP SECRET effettua la distruzione in presenza di un testimone che possiede un nulla osta di sicurezza almeno fino al livello di classifica del documento da distruggere.

4. L'ufficiale del registro e il testimone, laddove sia richiesta la presenza di quest'ultimo, firmano un certificato di distruzione che è archiviato presso l'ufficio di registrazione. L'RCO dell'ufficio di registrazione competente conserva i certificati di distruzione dei documenti TRÈS SECRET UE/EU TOP SECRET per un periodo di almeno dieci anni e quelli dei documenti CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET per un periodo di almeno cinque anni.

5. I documenti classificati, compresi quelli di livello RESTREINT UE/EU RESTRICTED, sono distrutti con metodi definiti nelle norme di attuazione e conformi alle pertinenti norme dell'UE o equivalenti.

6. I supporti informatici delle ICUE sono distrutti in conformità alle procedure stabilite nelle norme di attuazione.

Art. 33 Distruzione delle ICUE in casi di emergenza

1. I servizi della Commissione che dispongono di ICUE predispongono piani, in base alle condizioni vigenti in loco, per la protezione del materiale classificato UE in situazioni di crisi, compresa, se necessaria, la distruzione di emergenza e piani di evacuazione. Essi emanano le istruzioni che ritengono necessarie per impedire che le ICUE cadano nelle mani di persone non autorizzate.

2. Le disposizioni per la protezione e/o la distruzione di materiale CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET in situazioni di crisi non compromette in alcun modo la protezione o la distruzione di materiale TRÈS SECRET UE/EU TOP SECRET, ivi compresa l'attrezzatura di cifratura, il cui trattamento è prioritario rispetto a tutte le altre funzioni.

3. In caso di emergenza, se c'è un rischio imminente di divulgazione non autorizzata, le ICUE sono distrutte dal detentore in modo tale da non poter essere ricostruite né totalmente né parzialmente. L'originatore e l'ufficio di registrazione d'origine sono informati della distruzione d'emergenza delle ICUE registrate.

4. Disposizioni più dettagliate relative alla distruzione delle ICUE figureranno nelle norme di attuazione

Capo 5. Protezione delle informazioni classificate ue nei sistemi di comunicazione e informazione (cis)

Art. 34 Principi fondamentali della garanzia di sicurezza delle informazioni

1. Per «garanzia di sicurezza delle informazioni (IA) nel campo dei sistemi di comunicazione e informazione» si intende la fiducia nel fatto che tali sistemi proteggeranno le informazioni che trattano e funzioneranno nel modo dovuto e a tempo debito sotto il controllo degli utenti legittimi.

2. Un'efficace garanzia di sicurezza delle informazioni assicura livelli adeguati di:

— autenticità: garanzia che l'informazione è veritiera e proviene da fonti in buona fede,

— disponibilità: proprietà di accessibilità e utilizzabilità su richiesta di un'entità autorizzata,

— riservatezza: proprietà per cui l'informazione non è divulgata a persone, entità o procedure non autorizzate,

— integrità: proprietà di tutela della precisione e della completezza delle informazioni e delle risorse,

— non disconoscibilità: capacità di provare che un'azione o un evento sono effettivamente accaduti e non possono essere negati in seguito.

3. L'IA si basa su una procedura di gestione del rischio.

Art. 35 Definizioni

Ai fini del presente capo si intende per:

  1. a) «accreditamento», l'autorizzazione e l'approvazione formale accordata a un sistema di comunicazione e informazione dall'autorità di accreditamento in materia di sicurezza (SAA) per il trattamento di ICUE nel suo contesto operativo, in seguito alla convalida formale del piano di sicurezza e alla sua corretta attuazione;

  2. b) «procedura di accreditamento», le misure e i compiti necessari richiesti dall'autorità di accreditamento in materia di sicurezza prima di accordare l'accreditamento. Tali misure e compiti sono specificati in una norma di procedura di accreditamento;

  3. c) «sistema di comunicazione e informazione (CIS)», ogni sistema che consente il trattamento delle informazioni in forma elettronica. Un sistema di comunicazione e informazione comprende l'insieme delle risorse necessarie al suo funzionamento, ivi compresi l'infrastruttura, l'organizzazione, il personale e le risorse dell'informazione;

  4. d) «rischio residuo», il rischio che permane una volta attuate delle misure di sicurezza, dato che non tutte le minacce possono essere neutralizzate né tutte le vulnerabilità eliminate;

  5. e) «rischio», la possibilità che una data minaccia sfrutti le vulnerabilità interne ed esterne di un'organizzazione o di uno qualsiasi dei sistemi da essa utilizzati, arrecando pertanto danno all'organizzazione o ai suoi beni materiali o immateriali. È calcolato come una combinazione tra le probabilità del verificarsi delle minacce e il loro impatto;

  6. f) «accettazione del rischio», la decisione di accettare la permanenza di un rischio residuo in seguito al trattamento del rischio;

  7. g) «valutazione del rischio», l'identificazione delle minacce e delle vulnerabilità e l'esecuzione delle relative analisi del rischio, ossia l'analisi della probabilità e dell'impatto;

  8. h) «comunicazione del rischio», lo sviluppo della sensibilizzazione ai rischi tra le comunità di utenti del CIS, informando di tali rischi le autorità di approvazione e riferendo sugli stessi alle autorità operative;

  9. i) «trattamento del rischio», mitigazione, rimozione, riduzione (tramite un'opportuna combinazione di misure tecniche, materiali, organizzative o procedurali), trasferimento o controllo del rischio.

Art. 36 CIS che trattano ICUE

1. I CIS trattano le ICUE conformemente al concetto di IA.

2. Per i CIS che trattano ICUE, la conformità alla politica della Commissione in materia di sicurezza dei sistemi di informazione, di cui alla decisione C(2006) 360211 della Commissione, implica quanto segue:

  1. a) per attuare la politica in materia di sicurezza dei sistemi di informazione si applica l'approccio basato sul ciclo di Deming (ciclo Plan-Do-Check-Act) durante l'intero ciclo di vita del sistema di informazioni;

  2. b) le esigenze in materia di sicurezza devono essere identificate attraverso una valutazione d'impatto;

  3. c) il sistema di informazione e i dati al suo interno devono essere oggetto di una classificazione formale delle attività;

  4. d) devono essere attuate tutte le misure di sicurezza obbligatorie stabilite dalla politica in materia di sicurezza dei sistemi di informazione;

  5. e) deve essere applicata una procedura di gestione del rischio, che comprende le seguenti fasi: identificazione della minaccia e della vulnerabilità, valutazione del rischio, trattamento del rischio, accettazione del rischio e comunicazione del rischio;

  6. f) è definito, attuato, verificato e riesaminato un piano di sicurezza, che comprende la politica di sicurezza e le procedure operative di sicurezza.

3. Tutto il personale coinvolto nella progettazione, nello sviluppo, nel collaudo, nel funzionamento, nella gestione o nell'utilizzo di CIS che trattano ICUE notifica all'autorità di accreditamento in materia di sicurezza ogni potenziale lacuna di sicurezza, incidente, violazione o compromissione della sicurezza che potrebbe avere conseguenze sulla protezione del CIS e/o delle ICUE in esso contenute.

4. Qualora la protezione delle ICUE sia assicurata mediante prodotti crittografici, tali prodotti sono approvati secondo le modalità seguenti:

  1. a) di preferenza la scelta va ai prodotti che sono stati approvati dal Consiglio o dal segretario generale del Consiglio nel suo ruolo di autorità di approvazione degli apparati crittografici del Consiglio, su raccomandazione del gruppo di esperti in materia di sicurezza della Commissione;

  2. b) ove giustificato da specifici motivi operativi, l'autorità di approvazione degli apparati crittografici (CAA) può, su raccomandazione del gruppo di esperti in materia di sicurezza della Commissione, derogare ai requisiti di cui al punto a) e rilasciare un'approvazione temporanea per un periodo specifico.

5. Durante la trasmissione, il trattamento e l'archiviazione di ICUE con mezzi elettronici si usano prodotti crittografici approvati. In deroga a tale requisito, in situazioni di emergenza o in configurazioni tecniche specifiche si possono applicare procedure specifiche previa approvazione della CAA.

6. Sono attuate misure di sicurezza per proteggere i CIS che trattano informazioni classificate di livello CONFIDENTIEL UE/EU CONFIDENTIAL o superiore in modo tale che tali informazioni non possano essere compromesse da radiazioni elettromagnetiche non intenzionali («misure di sicurezza TEMPEST»). Dette misure di sicurezza sono commisurate al rischio di sfruttamento e al livello di classifica delle informazioni.

7. All'autorità di sicurezza della Commissione sono assegnate le seguenti funzioni:

autorità IA (IAA),

autorità di accreditamento di sicurezza (SAA),

autorità TEMPEST (TA),

autorità di approvazione degli apparati crittografici (CAA),

autorità di distribuzione degli apparati crittografici (CDA).

8. L'autorità di sicurezza della Commissione nomina l'autorità operativa IA per ciascun sistema.

9. Le responsabilità delle funzioni descritte nei paragrafi 7 e 8 saranno definite nelle norme di attuazione.

Art. 37 Accreditamento di CIS che trattano ICUE

1. Tutti i CIS che trattano ICUE sono soggetti a una procedura di accreditamento basata sui principi dell'IA, il cui livello di dettaglio deve essere commisurato al livello di protezione richiesto.

2. La procedura di accreditamento comprende la convalida formale, da parte dell'SAA della Commissione, del piano di sicurezza per il CIS pertinente al fine di garantire che:

  1. a) la procedura di gestione del rischio, di cui all'articolo 36, paragrafo 2, sia stata effettuata in modo adeguato;

  2. b) il proprietario del sistema abbia accettato consapevolmente il rischio residuo; e

  3. c) sia stato raggiunto un livello sufficiente di protezione del CIS, e delle ICUE in esso trattate, conformemente alla presente decisione.

3. L'SAA della Commissione rilascia una dichiarazione di accreditamento che determina il livello di classifica più elevato delle ICUE che può essere trattato nel CIS nonché i termini e le condizioni associati al funzionamento. Ciò non pregiudica i compiti affidati al comitato di accreditamento di sicurezza stabiliti all'articolo 11 del regolamento (UE) n. 512/2014 del Parlamento europeo e del Consiglio12.

4. Un comitato di accreditamento di sicurezza (SAB) comune è responsabile dell'accreditamento dei CIS della Commissione che coinvolgono diverse parti. Esso è composto di un rappresentante SAA di ciascuna parte coinvolta e vi partecipa un rappresentante SAA della Commissione.

5. La procedura di accreditamento consiste in una serie di compiti assegnati alle parti coinvolte. Il proprietario del sistema CIS è il solo responsabile della preparazione dei fascicoli e della documentazione.

6. L'accreditamento compete all'SAA della Commissione, che, in qualsiasi momento del ciclo di vita del CIS, ha diritto di:

  1. a) chiedere l'applicazione di una procedura di accreditamento;

  2. b) effettuare audit o ispezioni del CIS;

  3. c) qualora non siano più soddisfatte le condizioni di funzionamento, chiedere la definizione e l'attuazione effettiva di un piano di miglioramento della sicurezza entro tempi ben definiti, arrivando a ritirare l'autorizzazione al funzionamento del CIS fino a quando le condizioni di funzionamento non siano nuovamente soddisfatte.

7. La procedura di accreditamento è stabilita in una norma sulla procedura di accreditamento per i CIS che trattano ICUE, che è adottata a norma dell'articolo 10, paragrafo 3, della decisione C(2006) 3602.

Art. 38 Situazioni di emergenza

1. In deroga alle disposizioni del presente capo, le procedure specifiche descritte di seguito possono essere applicate in casi di emergenza, come in situazioni di crisi, conflitti, guerre imminenti o già in corso o in circostanze operative eccezionali.

2. Le ICUE possono essere trasmesse, previo consenso dell'autorità competente, usando prodotti crittografici approvati per un livello di classifica inferiore o senza cifratura nel caso in cui un ritardo causerebbe un danno manifestamente maggiore di quello dovuto all'eventuale divulgazione del materiale classificato e se:

  1. a) il mittente e il destinatario non hanno l'attrezzatura di cifratura necessaria; e

  2. b) il materiale classificato non può essere trasmesso in tempo utile con altri mezzi.

3. Le informazioni classificate trasmesse nelle circostanze di cui al paragrafo 1 non recano alcun contrassegno o indicazione che le distinguano da informazioni non classificate o che possono essere protette mediante prodotti crittografici disponibili. I destinatari sono informati tempestivamente, con altri mezzi, del livello di classifica.

4. È presentato un successivo rapporto all'autorità competente e al gruppo di esperti in materia di sicurezza della Commissione.

Capo 6. Sicurezza industriale

Art. 39 Principi di base

1. Per «sicurezza industriale» si intende l'applicazione di misure che assicurino la protezione delle ICUE:

  1. a) nell'ambito di contratti classificati, da parte di:

    1. i) candidati od offerenti attraverso la procedura di appalto e aggiudicazione;

    2. ii) contraenti o subcontraenti lungo tutto il ciclo di vita dei contratti classificati;

  2. b) nell'ambito di convenzioni di sovvenzione classificate, da parte di:

    1. i) i richiedenti durante le procedure di concessione di una sovvenzione;

    2. ii) i beneficiari lungo tutto il ciclo di vita delle convenzioni di sovvenzione classificate.

2. Tali contratti o convenzioni di sovvenzione non contemplano le informazioni classificate di livello TRÈS SECRET UE/EU TOP SECRET.

3. Se non stabilito diversamente, le disposizioni del presente capo relative ai contratti o ai contraenti si applicano anche ai subcontratti o ai subcontraenti classificati.

Art. 40 Definizioni

Ai fini del presente capo si intende per:

  1. a) «contratto classificato», un contratto quadro o un contratto, conformemente al regolamento (CE, Euratom) n. 1605/2002 del Consiglio13, stipulato dalla Commissione o da uno dei suoi servizi, con un contraente per la fornitura di beni mobili o immobili, l'esecuzione di lavori o la prestazione di servizi, la cui esecuzione richiede o implica la creazione, il trattamento o la conservazione di ICUE;

  2. b) «subcontratto classificato», un contratto stipulato da un contraente della Commissione o uno dei suoi servizi con un altro contraente (vale a dire il subcontraente) per la fornitura di beni mobili o immobili, l'esecuzione di lavori o la prestazione di servizi, la cui esecuzione richiede o implica la creazione, il trattamento o la conservazione di ICUE;

  3. c) «convenzione di sovvenzione classificata», una convenzione con cui la Commissione concede una sovvenzione, come stabilito nella parte I, titolo VI, del regolamento (CE, Euratom) n. 1605/2002, la cui esecuzione richiede o implica la creazione, il trattamento o la conservazione di ICUE;

  4. d) «autorità di sicurezza designata» (DSA), l'autorità che fa capo all'autorità di sicurezza nazionale (NSA) di uno Stato membro, incaricata di comunicare ai soggetti industriali o di altra natura la linea politica nazionale riguardo a tutti gli aspetti della sicurezza industriale e di fornire guida e assistenza nell'attuazione della medesima. La funzione della DSA può essere espletata dall'NSA o da qualsiasi altra autorità competente.

Art. 41 Procedura per contratti classificati o convenzioni di sovvenzione

1. In quanto autorità contraente, ogni servizio della Commissione, nell'aggiudicare un contratto classificato o una convezione di sovvenzione, assicura che le norme minime sulla sicurezza industriale previste nel presente capo siano menzionate o integrate nel contratto e che siano rispettate.

2. Ai fini del paragrafo 1, i servizi competenti della Commissione chiedono il parere della direzione generale Risorse umane e sicurezza, in particolare della direzione Sicurezza, e si assicurano che i modelli di contratti, subcontratti e convenzioni di sovvenzione includano disposizioni che riflettano i principi di base e le norme minime per proteggere le ICUE che devono essere rispettate sia dai contraenti e subcontraenti, sia dai beneficiari delle convenzioni di sovvenzione.

3. La Commissione collabora strettamente con l'NSA, la DSA o altra autorità competente degli Stati membri interessati.

4. L'autorità contraente che intende lanciare una procedura intesa a concludere un contratto classificato o una convenzione di sovvenzione chiede il parere dell'autorità di sicurezza della Commissione sulle questioni relative alla natura e agli elementi classificati della procedura durante tutte le sue fasi.

5. I modelli dei contratti e dei subcontratti classificati, delle convenzioni di sovvenzione classificate, delle comunicazioni contrattuali, degli orientamenti sulle circostanze in cui sono richiesti i nulla osta di sicurezza delle imprese (FSC), le istruzioni di sicurezza del programma o progetto (PSI), le lettere sugli aspetti di sicurezza (SAL), le visite, la trasmissione e il trasporto di ICUE nell'ambito di contratti o convenzioni di sovvenzione classificati sono definiti nelle norme di attuazione sulla sicurezza industriale, previa consultazione del gruppo di esperti in materia di sicurezza della Commissione.

6. La Commissione può concludere contratti o convenzioni di sovvenzione classificati che comportano o implicano l'accesso a, il trattamento o la conservazione di ICUE da parte di operatori economici registrati in uno Stato membro o in uno Stato terzo che abbia concluso un accordo o un accordo amministrativo conformemente al capo 7 della presente decisione.

Fonti e licenze