diritto.io

Decisione (UE, Euratom) 2015/444 della Commissione del 13 marzo 2015 sulle norme di sicurezza per proteggere le informazioni classificate UE

Testo vigente

Art. 32 Distruzione di ICUE

1. I documenti classificati UE che non sono più necessari possono essere distrutti, tenendo conto dei regolamenti in materia di archiviazione e delle norme e dei regolamenti della Commissione sulla gestione e l'archiviazione dei documenti, in particolare l'elenco comune di conservazione a livello della Commissione.

2. Le ICUE di livello CONFIDENTIEL UE/EU CONFIDENTIAL e superiore sono distrutte dall'RCO dell'ufficio di registrazione delle ICUE competente su istruzione del detentore o di un'autorità competente. L'RCO aggiorna di conseguenza i repertori e gli altri dati relativi alla registrazione.

3. Per i documenti classificati SECRET UE/EU SECRET o TRÈS SECRET UE/EU TOP SECRET effettua la distruzione in presenza di un testimone che possiede un nulla osta di sicurezza almeno fino al livello di classifica del documento da distruggere.

4. L'ufficiale del registro e il testimone, laddove sia richiesta la presenza di quest'ultimo, firmano un certificato di distruzione che è archiviato presso l'ufficio di registrazione. L'RCO dell'ufficio di registrazione competente conserva i certificati di distruzione dei documenti TRÈS SECRET UE/EU TOP SECRET per un periodo di almeno dieci anni e quelli dei documenti CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET per un periodo di almeno cinque anni.

5. I documenti classificati, compresi quelli di livello RESTREINT UE/EU RESTRICTED, sono distrutti con metodi definiti nelle norme di attuazione e conformi alle pertinenti norme dell'UE o equivalenti.

6. I supporti informatici delle ICUE sono distrutti in conformità alle procedure stabilite nelle norme di attuazione.

Art. 33 Distruzione delle ICUE in casi di emergenza

1. I servizi della Commissione che dispongono di ICUE predispongono piani, in base alle condizioni vigenti in loco, per la protezione del materiale classificato UE in situazioni di crisi, compresa, se necessaria, la distruzione di emergenza e piani di evacuazione. Essi emanano le istruzioni che ritengono necessarie per impedire che le ICUE cadano nelle mani di persone non autorizzate.

2. Le disposizioni per la protezione e/o la distruzione di materiale CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET in situazioni di crisi non compromette in alcun modo la protezione o la distruzione di materiale TRÈS SECRET UE/EU TOP SECRET, ivi compresa l'attrezzatura di cifratura, il cui trattamento è prioritario rispetto a tutte le altre funzioni.

3. In caso di emergenza, se c'è un rischio imminente di divulgazione non autorizzata, le ICUE sono distrutte dal detentore in modo tale da non poter essere ricostruite né totalmente né parzialmente. L'originatore e l'ufficio di registrazione d'origine sono informati della distruzione d'emergenza delle ICUE registrate.

4. Disposizioni più dettagliate relative alla distruzione delle ICUE figureranno nelle norme di attuazione

Capo 5. Protezione delle informazioni classificate ue nei sistemi di comunicazione e informazione (cis)

Art. 34 Principi fondamentali della garanzia di sicurezza delle informazioni

1. Per «garanzia di sicurezza delle informazioni (IA) nel campo dei sistemi di comunicazione e informazione» si intende la fiducia nel fatto che tali sistemi proteggeranno le informazioni che trattano e funzioneranno nel modo dovuto e a tempo debito sotto il controllo degli utenti legittimi.

2. Un'efficace garanzia di sicurezza delle informazioni assicura livelli adeguati di:

— autenticità: garanzia che l'informazione è veritiera e proviene da fonti in buona fede,

— disponibilità: proprietà di accessibilità e utilizzabilità su richiesta di un'entità autorizzata,

— riservatezza: proprietà per cui l'informazione non è divulgata a persone, entità o procedure non autorizzate,

— integrità: proprietà di tutela della precisione e della completezza delle informazioni e delle risorse,

— non disconoscibilità: capacità di provare che un'azione o un evento sono effettivamente accaduti e non possono essere negati in seguito.

3. L'IA si basa su una procedura di gestione del rischio.

Art. 35 Definizioni

Ai fini del presente capo si intende per:

  1. a) «accreditamento», l'autorizzazione e l'approvazione formale accordata a un sistema di comunicazione e informazione dall'autorità di accreditamento in materia di sicurezza (SAA) per il trattamento di ICUE nel suo contesto operativo, in seguito alla convalida formale del piano di sicurezza e alla sua corretta attuazione;

  2. b) «procedura di accreditamento», le misure e i compiti necessari richiesti dall'autorità di accreditamento in materia di sicurezza prima di accordare l'accreditamento. Tali misure e compiti sono specificati in una norma di procedura di accreditamento;

  3. c) «sistema di comunicazione e informazione (CIS)», ogni sistema che consente il trattamento delle informazioni in forma elettronica. Un sistema di comunicazione e informazione comprende l'insieme delle risorse necessarie al suo funzionamento, ivi compresi l'infrastruttura, l'organizzazione, il personale e le risorse dell'informazione;

  4. d) «rischio residuo», il rischio che permane una volta attuate delle misure di sicurezza, dato che non tutte le minacce possono essere neutralizzate né tutte le vulnerabilità eliminate;

  5. e) «rischio», la possibilità che una data minaccia sfrutti le vulnerabilità interne ed esterne di un'organizzazione o di uno qualsiasi dei sistemi da essa utilizzati, arrecando pertanto danno all'organizzazione o ai suoi beni materiali o immateriali. È calcolato come una combinazione tra le probabilità del verificarsi delle minacce e il loro impatto;

  6. f) «accettazione del rischio», la decisione di accettare la permanenza di un rischio residuo in seguito al trattamento del rischio;

  7. g) «valutazione del rischio», l'identificazione delle minacce e delle vulnerabilità e l'esecuzione delle relative analisi del rischio, ossia l'analisi della probabilità e dell'impatto;

  8. h) «comunicazione del rischio», lo sviluppo della sensibilizzazione ai rischi tra le comunità di utenti del CIS, informando di tali rischi le autorità di approvazione e riferendo sugli stessi alle autorità operative;

  9. i) «trattamento del rischio», mitigazione, rimozione, riduzione (tramite un'opportuna combinazione di misure tecniche, materiali, organizzative o procedurali), trasferimento o controllo del rischio.

Art. 36 CIS che trattano ICUE

1. I CIS trattano le ICUE conformemente al concetto di IA.

2. Per i CIS che trattano ICUE, la conformità alla politica della Commissione in materia di sicurezza dei sistemi di informazione, di cui alla decisione C(2006) 360211 della Commissione, implica quanto segue:

  1. a) per attuare la politica in materia di sicurezza dei sistemi di informazione si applica l'approccio basato sul ciclo di Deming (ciclo Plan-Do-Check-Act) durante l'intero ciclo di vita del sistema di informazioni;

  2. b) le esigenze in materia di sicurezza devono essere identificate attraverso una valutazione d'impatto;

  3. c) il sistema di informazione e i dati al suo interno devono essere oggetto di una classificazione formale delle attività;

  4. d) devono essere attuate tutte le misure di sicurezza obbligatorie stabilite dalla politica in materia di sicurezza dei sistemi di informazione;

  5. e) deve essere applicata una procedura di gestione del rischio, che comprende le seguenti fasi: identificazione della minaccia e della vulnerabilità, valutazione del rischio, trattamento del rischio, accettazione del rischio e comunicazione del rischio;

  6. f) è definito, attuato, verificato e riesaminato un piano di sicurezza, che comprende la politica di sicurezza e le procedure operative di sicurezza.

3. Tutto il personale coinvolto nella progettazione, nello sviluppo, nel collaudo, nel funzionamento, nella gestione o nell'utilizzo di CIS che trattano ICUE notifica all'autorità di accreditamento in materia di sicurezza ogni potenziale lacuna di sicurezza, incidente, violazione o compromissione della sicurezza che potrebbe avere conseguenze sulla protezione del CIS e/o delle ICUE in esso contenute.

4. Qualora la protezione delle ICUE sia assicurata mediante prodotti crittografici, tali prodotti sono approvati secondo le modalità seguenti:

  1. a) di preferenza la scelta va ai prodotti che sono stati approvati dal Consiglio o dal segretario generale del Consiglio nel suo ruolo di autorità di approvazione degli apparati crittografici del Consiglio, su raccomandazione del gruppo di esperti in materia di sicurezza della Commissione;

  2. b) ove giustificato da specifici motivi operativi, l'autorità di approvazione degli apparati crittografici (CAA) può, su raccomandazione del gruppo di esperti in materia di sicurezza della Commissione, derogare ai requisiti di cui al punto a) e rilasciare un'approvazione temporanea per un periodo specifico.

5. Durante la trasmissione, il trattamento e l'archiviazione di ICUE con mezzi elettronici si usano prodotti crittografici approvati. In deroga a tale requisito, in situazioni di emergenza o in configurazioni tecniche specifiche si possono applicare procedure specifiche previa approvazione della CAA.

6. Sono attuate misure di sicurezza per proteggere i CIS che trattano informazioni classificate di livello CONFIDENTIEL UE/EU CONFIDENTIAL o superiore in modo tale che tali informazioni non possano essere compromesse da radiazioni elettromagnetiche non intenzionali («misure di sicurezza TEMPEST»). Dette misure di sicurezza sono commisurate al rischio di sfruttamento e al livello di classifica delle informazioni.

7. All'autorità di sicurezza della Commissione sono assegnate le seguenti funzioni:

autorità IA (IAA),

autorità di accreditamento di sicurezza (SAA),

autorità TEMPEST (TA),

autorità di approvazione degli apparati crittografici (CAA),

autorità di distribuzione degli apparati crittografici (CDA).

8. L'autorità di sicurezza della Commissione nomina l'autorità operativa IA per ciascun sistema.

9. Le responsabilità delle funzioni descritte nei paragrafi 7 e 8 saranno definite nelle norme di attuazione.

Art. 37 Accreditamento di CIS che trattano ICUE

1. Tutti i CIS che trattano ICUE sono soggetti a una procedura di accreditamento basata sui principi dell'IA, il cui livello di dettaglio deve essere commisurato al livello di protezione richiesto.

2. La procedura di accreditamento comprende la convalida formale, da parte dell'SAA della Commissione, del piano di sicurezza per il CIS pertinente al fine di garantire che:

  1. a) la procedura di gestione del rischio, di cui all'articolo 36, paragrafo 2, sia stata effettuata in modo adeguato;

  2. b) il proprietario del sistema abbia accettato consapevolmente il rischio residuo; e

  3. c) sia stato raggiunto un livello sufficiente di protezione del CIS, e delle ICUE in esso trattate, conformemente alla presente decisione.

3. L'SAA della Commissione rilascia una dichiarazione di accreditamento che determina il livello di classifica più elevato delle ICUE che può essere trattato nel CIS nonché i termini e le condizioni associati al funzionamento. Ciò non pregiudica i compiti affidati al comitato di accreditamento di sicurezza stabiliti all'articolo 11 del regolamento (UE) n. 512/2014 del Parlamento europeo e del Consiglio12.

4. Un comitato di accreditamento di sicurezza (SAB) comune è responsabile dell'accreditamento dei CIS della Commissione che coinvolgono diverse parti. Esso è composto di un rappresentante SAA di ciascuna parte coinvolta e vi partecipa un rappresentante SAA della Commissione.

5. La procedura di accreditamento consiste in una serie di compiti assegnati alle parti coinvolte. Il proprietario del sistema CIS è il solo responsabile della preparazione dei fascicoli e della documentazione.

6. L'accreditamento compete all'SAA della Commissione, che, in qualsiasi momento del ciclo di vita del CIS, ha diritto di:

  1. a) chiedere l'applicazione di una procedura di accreditamento;

  2. b) effettuare audit o ispezioni del CIS;

  3. c) qualora non siano più soddisfatte le condizioni di funzionamento, chiedere la definizione e l'attuazione effettiva di un piano di miglioramento della sicurezza entro tempi ben definiti, arrivando a ritirare l'autorizzazione al funzionamento del CIS fino a quando le condizioni di funzionamento non siano nuovamente soddisfatte.

7. La procedura di accreditamento è stabilita in una norma sulla procedura di accreditamento per i CIS che trattano ICUE, che è adottata a norma dell'articolo 10, paragrafo 3, della decisione C(2006) 3602.

Art. 38 Situazioni di emergenza

1. In deroga alle disposizioni del presente capo, le procedure specifiche descritte di seguito possono essere applicate in casi di emergenza, come in situazioni di crisi, conflitti, guerre imminenti o già in corso o in circostanze operative eccezionali.

2. Le ICUE possono essere trasmesse, previo consenso dell'autorità competente, usando prodotti crittografici approvati per un livello di classifica inferiore o senza cifratura nel caso in cui un ritardo causerebbe un danno manifestamente maggiore di quello dovuto all'eventuale divulgazione del materiale classificato e se:

  1. a) il mittente e il destinatario non hanno l'attrezzatura di cifratura necessaria; e

  2. b) il materiale classificato non può essere trasmesso in tempo utile con altri mezzi.

3. Le informazioni classificate trasmesse nelle circostanze di cui al paragrafo 1 non recano alcun contrassegno o indicazione che le distinguano da informazioni non classificate o che possono essere protette mediante prodotti crittografici disponibili. I destinatari sono informati tempestivamente, con altri mezzi, del livello di classifica.

4. È presentato un successivo rapporto all'autorità competente e al gruppo di esperti in materia di sicurezza della Commissione.

Capo 6. Sicurezza industriale

Art. 39 Principi di base

1. Per «sicurezza industriale» si intende l'applicazione di misure che assicurino la protezione delle ICUE:

  1. a) nell'ambito di contratti classificati, da parte di:

    1. i) candidati od offerenti attraverso la procedura di appalto e aggiudicazione;

    2. ii) contraenti o subcontraenti lungo tutto il ciclo di vita dei contratti classificati;

  2. b) nell'ambito di convenzioni di sovvenzione classificate, da parte di:

    1. i) i richiedenti durante le procedure di concessione di una sovvenzione;

    2. ii) i beneficiari lungo tutto il ciclo di vita delle convenzioni di sovvenzione classificate.

2. Tali contratti o convenzioni di sovvenzione non contemplano le informazioni classificate di livello TRÈS SECRET UE/EU TOP SECRET.

3. Se non stabilito diversamente, le disposizioni del presente capo relative ai contratti o ai contraenti si applicano anche ai subcontratti o ai subcontraenti classificati.

Art. 40 Definizioni

Ai fini del presente capo si intende per:

  1. a) «contratto classificato», un contratto quadro o un contratto, conformemente al regolamento (CE, Euratom) n. 1605/2002 del Consiglio13, stipulato dalla Commissione o da uno dei suoi servizi, con un contraente per la fornitura di beni mobili o immobili, l'esecuzione di lavori o la prestazione di servizi, la cui esecuzione richiede o implica la creazione, il trattamento o la conservazione di ICUE;

  2. b) «subcontratto classificato», un contratto stipulato da un contraente della Commissione o uno dei suoi servizi con un altro contraente (vale a dire il subcontraente) per la fornitura di beni mobili o immobili, l'esecuzione di lavori o la prestazione di servizi, la cui esecuzione richiede o implica la creazione, il trattamento o la conservazione di ICUE;

  3. c) «convenzione di sovvenzione classificata», una convenzione con cui la Commissione concede una sovvenzione, come stabilito nella parte I, titolo VI, del regolamento (CE, Euratom) n. 1605/2002, la cui esecuzione richiede o implica la creazione, il trattamento o la conservazione di ICUE;

  4. d) «autorità di sicurezza designata» (DSA), l'autorità che fa capo all'autorità di sicurezza nazionale (NSA) di uno Stato membro, incaricata di comunicare ai soggetti industriali o di altra natura la linea politica nazionale riguardo a tutti gli aspetti della sicurezza industriale e di fornire guida e assistenza nell'attuazione della medesima. La funzione della DSA può essere espletata dall'NSA o da qualsiasi altra autorità competente.

Art. 41 Procedura per contratti classificati o convenzioni di sovvenzione

1. In quanto autorità contraente, ogni servizio della Commissione, nell'aggiudicare un contratto classificato o una convezione di sovvenzione, assicura che le norme minime sulla sicurezza industriale previste nel presente capo siano menzionate o integrate nel contratto e che siano rispettate.

2. Ai fini del paragrafo 1, i servizi competenti della Commissione chiedono il parere della direzione generale Risorse umane e sicurezza, in particolare della direzione Sicurezza, e si assicurano che i modelli di contratti, subcontratti e convenzioni di sovvenzione includano disposizioni che riflettano i principi di base e le norme minime per proteggere le ICUE che devono essere rispettate sia dai contraenti e subcontraenti, sia dai beneficiari delle convenzioni di sovvenzione.

3. La Commissione collabora strettamente con l'NSA, la DSA o altra autorità competente degli Stati membri interessati.

4. L'autorità contraente che intende lanciare una procedura intesa a concludere un contratto classificato o una convenzione di sovvenzione chiede il parere dell'autorità di sicurezza della Commissione sulle questioni relative alla natura e agli elementi classificati della procedura durante tutte le sue fasi.

5. I modelli dei contratti e dei subcontratti classificati, delle convenzioni di sovvenzione classificate, delle comunicazioni contrattuali, degli orientamenti sulle circostanze in cui sono richiesti i nulla osta di sicurezza delle imprese (FSC), le istruzioni di sicurezza del programma o progetto (PSI), le lettere sugli aspetti di sicurezza (SAL), le visite, la trasmissione e il trasporto di ICUE nell'ambito di contratti o convenzioni di sovvenzione classificati sono definiti nelle norme di attuazione sulla sicurezza industriale, previa consultazione del gruppo di esperti in materia di sicurezza della Commissione.

6. La Commissione può concludere contratti o convenzioni di sovvenzione classificati che comportano o implicano l'accesso a, il trattamento o la conservazione di ICUE da parte di operatori economici registrati in uno Stato membro o in uno Stato terzo che abbia concluso un accordo o un accordo amministrativo conformemente al capo 7 della presente decisione.

Art. 42 Elementi di sicurezza in un contratto classificato o in una convenzione di sovvenzione

1. I contratti classificati o le convenzioni di sovvenzione comprendono i seguenti elementi di sicurezza:

istruzione di sicurezza del programma o progetto:

  1. a) per «istruzione di sicurezza del programma o progetto» (PSI) si intende un elenco delle procedure di sicurezza che sono applicate a un programma o progetto specifico per uniformare le procedure di sicurezza. L'elenco può essere riveduto per tutta la durata del programma o progetto;

  2. b) la direzione generale Risorse umane e sicurezza sviluppa una PSI generica. I servizi della Commissione responsabili dei programmi o dei progetti che prevedono il trattamento o la conservazione di ICUE possono sviluppare, ove opportuno, PSI specifiche basate sulla PSI generica;

  3. c) una PSI specifica è sviluppata in particolare per i programmi e i progetti caratterizzati da portata, entità o complessità considerevoli o dalla molteplicità e/o la diversità dei contraenti, dei beneficiari nonché degli altri partner e portatori d'interessi coinvolti, ad esempio per quanto riguarda il loro status giuridico. La PSI specifica è sviluppata dai servizi della Commissione che gestiscono il programma o progetto, in stretta collaborazione con la direzione generale Risorse umane e sicurezza;

  4. d) la direzione generale Risorse umane e sicurezza chiede un parere sulle PSI generiche e specifiche al gruppo di esperti in materia di sicurezza della Commissione;

lettera sugli aspetti di sicurezza (SAL):

  1. a) per «lettera sugli aspetti di sicurezza» (SAL) si intende un pacchetto di condizioni contrattuali specifiche emesso dall'autorità contraente, che è parte integrante di un contratto classificato implicante l'accesso o la creazione di ICUE e in cui sono individuati i requisiti di sicurezza e gli elementi del contratto che richiedono una protezione di sicurezza;

  2. b) i requisiti di sicurezza specifici del contratto sono indicati in una SAL. Ove opportuno, tale SAL contiene la guida alle classifiche di sicurezza (SCG) ed è parte integrante di un contratto o subcontratto classificato o di una convenzione di sovvenzione;

  3. c) la SAL contiene le disposizioni che impongono al contraente o al beneficiario di osservare le norme minime stabilite dalla presente decisione. L'autorità contraente assicura che la SAL indichi che l'inosservanza di tali norme minime può essere motivo sufficiente di estinzione del contratto o della convenzione di sovvenzione.

2. Sia le PSI che le SAL comprendono una guida alle classifiche di sicurezza, quale elemento di sicurezza obbligatorio:

  1. a) per «guida alle classifiche di sicurezza» (SCG), si intende un documento che illustra gli elementi di un programma, progetto, contratto o convenzione di sovvenzione classificati e precisa i livelli di classifica di sicurezza applicabili. L'SCG può essere integrata per tutta la durata del programma, progetto, contratto o convenzione di sovvenzione e gli elementi informativi possono essere riclassificati o declassati; se esistente, l'SCG fa parte della SAL;

  2. b) prima di indire un bando di gara o di concludere un contratto classificato, il servizio della Commissione in quanto autorità contraente stabilisce la classifica di sicurezza delle informazioni che devono essere fornite ai candidati, agli offerenti o ai contraenti, nonché la classifica di sicurezza delle informazioni che il contraente deve creare. A tale scopo elabora un'SCG ai fini dell'esecuzione del contratto conformemente alla presente decisione e alle sue norme di attuazione, previa consultazione dell'autorità di sicurezza della Commissione.

  3. c) Per stabilire la classifica di sicurezza dei vari elementi di un contratto classificato si applicano i principi seguenti:

    1. i) nel redigere la SCG, il servizio della Commissione, in quanto autorità contraente, tiene conto di tutti gli aspetti di sicurezza, tra cui la classifica di sicurezza assegnata all'informazione fornita e approvata che l'originatore dell'informazione deve usare per il contratto;

    2. ii) il livello generale di classifica del contratto non può essere inferiore alla classifica più elevata di uno dei suoi elementi; e

    3. iii) ove opportuno, l'autorità contraente si mette in contatto, attraverso l'autorità di sicurezza della Commissione, con le NSA, DSA degli Stati membri o altre autorità di sicurezza competenti interessate in caso di qualsiasi modifica nella classifica delle informazioni create dai contraenti o ad essi fornite nell'esecuzione di un contratto e di eventuali ulteriori modifiche alla SCG.

Art. 43 Accesso del personale dei contraenti e dei beneficiari alle ICUE

L'autorità contraente o che eroga la sovvenzione assicura che il contratto classificato o la convenzione di sovvenzione classificata prevedano disposizioni che consentono al personale di un contraente, subcontraente o beneficiario che ne abbiano bisogno per l'esecuzione del contratto, subcontratto o convenzione di sovvenzione classificati, l'accesso alle ICUE solo se il personale:

  1. a) dispone dell'autorizzazione di sicurezza del livello pertinente o è autorizzato debitamente in altro modo da una necessità di conoscere riconosciuta;

  2. b) sia stato istruito sulle norme di sicurezza applicabili per la protezione delle ICUE ed abbia riconosciuto le proprie responsabilità in materia di protezione di tali informazioni;

  3. c) abbia ricevuto il nulla osta di sicurezza al livello pertinente per le informazioni classificate di livello CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET dalle rispettive NSA e DSA o da altre autorità competenti.

Art. 44 Nulla osta di sicurezza delle imprese

1. Per «nulla osta di sicurezza delle imprese» (FSC) si intende una decisione amministrativa di un'NSA, una DSA o altra autorità di sicurezza competente, secondo la quale un'impresa è in grado, sotto il profilo della sicurezza, di offrire un adeguato livello di protezione alle ICUE ad un determinato livello di classifica di sicurezza;

2. L'FSC concesso dall'NSA/DSA o altra autorità di sicurezza competente di uno Stato membro per indicare, conformemente alle disposizioni legislative e regolamentari nazionali, che un operatore economico è in grado di proteggere le ICUE al livello adatto di classifica (CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET) all'interno delle proprie strutture, viene presentata all'autorità di sicurezza della Commissione, che la trasmette al servizio della Commissione operante in quanto autorità contraente o che eroga la sovvenzione, prima che a un candidato, offerente o contraente oppure a un richiedente o beneficiario della sovvenzione siano comunicate delle ICUE o possa essere concesso l'accesso a tali informazioni classificate.

3. Ove opportuno, attraverso l'autorità di sicurezza della Commissione, l'autorità contraente notifica all'NSA, DSA pertinente o altra autorità di sicurezza competente che è necessario un FSC per l'esecuzione del contratto. È richiesto un FSC o un PSC laddove occorre fornire ICUE classificate di livello CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET durante il processo di presentazione delle offerte.

4. L'autorità contraente o che eroga la sovvenzione non assegna all'offerente o partecipante selezionato un contratto classificato o una convenzione di sovvenzione prima di aver ricevuto conferma dall'NSA, DSA, o da altra autorità di sicurezza competente dello Stato membro in cui ha sede il contraente o subcontraente interessato, che laddove necessario è stato rilasciato l'FSC adatto.

5. Se l'NSA, DSA o altra autorità di sicurezza competente che ha rilasciato un FSC notifica l'autorità di sicurezza della Commissione in merito a modifiche dell'FSC, quest'ultima le comunica al servizio della Commissione operante come autorità contraente o che eroga la sovvenzione. In caso di subcontratto, l'NSA, DSA o altra autorità di sicurezza competente è informata di conseguenza.

6. La revoca dell'FSC da parte dell'NSA/DSA interessata o da altra autorità di sicurezza competente è motivo sufficiente per far sì che l'autorità contraente o che eroga la sovvenzione estingua il contratto classificato o escluda un candidato, offerente o richiedente dalla gara. Nei modelli di contratto e di convenzione di sovvenzione che saranno elaborati occorre inserire una disposizione a tale scopo

Art. 45 Disposizioni per contratti e convenzioni di sovvenzione classificati

1. Qualora a un candidato, offerente o richiedente siano fornite ICUE durante la procedura di aggiudicazione, l'invito a presentare offerte contiene una disposizione che impone al candidato, offerente o richiedente che non ha presentato un'offerta o proposta o che non è stato selezionato l'obbligo di restituire tutti i documenti classificati entro un periodo di tempo determinato.

2. L'autorità contraente o che eroga la sovvenzione notifica, attraverso l'autorità di sicurezza della Commissione, all'NSA, DSA competente o altra autorità di sicurezza competente l'aggiudicazione di un contratto o di una convenzione di sovvenzione classificati e i dati pertinenti, quali il nome del/i contraente/i o beneficiari, la durata del contratto e il livello massimo di classifica.

3. In caso di estinzione di detti contratti o convenzioni di sovvenzione, l'autorità contraente o che eroga la sovvenzione ne notifica immediatamente, attraverso l'autorità di sicurezza della Commissione, l'NSA, DSA o altra autorità di sicurezza competente dello Stato membro in cui il contraente o beneficiario della sovvenzione ha sede.

4. Di norma, alla cessazione del contratto o della convenzione di sovvenzione classificati oppure al termine della partecipazione di un beneficiario della sovvenzione, il contraente o il beneficiario della sovvenzione è tenuto a restituire all'autorità contraente o che eroga la sovvenzione le ICUE in suo possesso.

5. La SAL contiene disposizioni specifiche per l'eliminazione delle ICUE durante l'esecuzione o alla cessazione del contratto o della convenzione di sovvenzione classificati.

6. Se è autorizzato a conservare le ICUE alla cessazione di un contratto o una convenzione di sovvenzione classificati, il contraente o beneficiario della sovvenzione continua a rispettare le norme minime previste dalla presente decisione nonché a proteggere la riservatezza delle ICUE.

Art. 46 Disposizioni specifiche per i contratti classificati

1. Le condizioni pertinenti alla protezione delle ICUE alle quali è ammesso il subcontratto da parte del contraente sono definite nel bando di gara e nel contratto classificato.

2. Prima di subappaltare parti di un contratto classificato il contraente ottiene il consenso dell'autorità contraente. Nessun subcontratto che prevede l'accesso a ICUE può essere aggiudicato a subcontraenti con sede in paesi terzi, a meno che vi sia un quadro normativo per la sicurezza delle informazioni come previsto al capo 7.

3. Spetta al contraente assicurare che tutte le attività del subcontratto si svolgano secondo le norme minime previste dalla presente decisione e astenersi dal fornire ICUE a un subcontraente senza previo consenso scritto dell'autorità contraente.

4. Per quanto riguarda le ICUE create o trattate dal contraente, la Commissione è considerata l'originatore e i diritti spettanti all'originatore sono esercitati dall'autorità contraente.

Art. 47 Visite relative a contratti classificati

1. Se un membro del personale della Commissione, dei contraenti o dei beneficiari della sovvenzione richiede l'accesso a informazioni classificate CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET nei rispettivi locali per l'esecuzione di un contratto o di una convenzione di sovvenzione classificati, le visite sono fissate di concerto con le NSA, DSA o altre autorità di sicurezza competenti interessate. L'autorità di sicurezza della Commissione è informata di tali visite. Tuttavia, nel contesto di programmi o progetti specifici, le NSA, DSA o altre autorità di sicurezza competenti possono anche convenire una procedura in base alla quale tali visite possono essere fissate direttamente.

2. Tutti i visitatori dispongono di un nulla osta di sicurezza adatto e hanno una necessità di conoscere per accedere alle ICUE relative al contratto classificato.

3. I visitatori possono accedere solo alle ICUE relative all'oggetto della visita.

4. disposizioni più dettagliate figureranno nelle norme di attuazione.

5. Il rispetto delle disposizioni in merito alle visite relative ai contratti classificati, stabilite nella presente decisione e nelle norme di attuazione di cui al paragrafo 4, è obbligatorio.

Art. 48 Trasmissione e trasporto di ICUE in relazione ai contratti o alle convenzioni di sovvenzione classificati

1. Per la trasmissione di ICUE mediante mezzi elettronici si applicano le pertinenti disposizioni del capo 5 della presente decisione.

2. Per quanto riguarda il trasporto di ICUE, si applicano le pertinenti disposizioni del capo 4 della presente decisione e delle relative norme di attuazione, conformemente alle disposizioni legislative e regolamentari nazionali.

3. Per il trasporto di materiale classificato come merce, nel fissare i dispositivi di sicurezza si applicano i principi seguenti:

  1. a) la sicurezza è garantita in tutte le fasi del trasporto dal luogo di origine alla destinazione finale;

  2. b) il livello di protezione attribuito a una spedizione è determinato dal livello di classifica più elevato del materiale trasportato;

  3. c) qualsiasi movimento transfrontaliero di materiale classificato CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET è subordinato a un programma di trasporto elaborato dal mittente e approvato dalle NSA, DSA o altra autorità di sicurezza competente interessata;

  4. d) i tragitti sono effettuati, per quanto possibile, da punto a punto e sono completati quanto più rapidamente possibile secondo le circostanze;

  5. e) gli itinerari dovrebbero attraversare, per quanto possibile, unicamente Stati membri. Gli itinerari attraverso Stati diversi dagli Stati membri dovrebbero essere seguiti solo se autorizzati dall'NSA/DSA o da altra autorità di sicurezza competente degli Stati di spedizione e di destinazione.

Art. 49 Trasmissione di ICUE a contraenti o beneficiari di sovvenzioni situati in Stati terzi

Le ICUE sono trasmesse a contraenti o beneficiari della sovvenzione situati in Stati terzi secondo misure di sicurezza convenute tra l'autorità di sicurezza della Commissione, il servizio della Commissione in quanto autorità contraente o che eroga la sovvenzione e l'NSA, DSA o altra autorità di sicurezza competente del paese terzo interessato in cui il contraente o il beneficiario della sovvenzione ha sede.

Art. 50 Trattamento di informazioni classificate RESTREINT UE/EU RESTRICTED nell'ambito di contratti o convenzioni di sovvenzione classificati

1. La protezione delle informazioni classificate RESTREINT UE/EU RESTRICTED trattate o conservate nell'ambito di contratti o convenzioni di sovvenzione classificati si basa su principi di proporzionalità e efficienza economica.

2. Non sono richiesti FSC o PSC nell'ambito di contratti o convenzioni di sovvenzione classificati che implicano il trattamento di informazioni classificate di livello RESTREINT UE/EU RESTRICTED.

3. Se un contratto o una convenzione di sovvenzione comportano il trattamento di informazioni classificate RESTREINT UE/EU RESTRICTED in un CIS gestito da un contraente o beneficiario di sovvenzione, l'autorità contraente o che eroga la sovvenzione garantisce, previa consultazione dell'autorità di sicurezza della Commissione, che nel contratto o convenzione di sovvenzione siano specificati i requisiti tecnici e amministrativi necessari in merito all'accreditamento o all'approvazione del CIS commisurati al rischio valutato, tenendo conto di tutti i fattori pertinenti. La portata dell'accreditamento o dell'approvazione di tale CIS è concordata tra l'autorità di sicurezza della Commissione e l'NSA, DSA competente.

Capo 7. Scambio di informazioni classificate con altre istituzioni, agenzie, organi e uffici dell'unione, con gli stati membri e con stati terzi e organizzazioni internazionali

Art. 51 Principi di base

1. Se la Commissione o uno dei suoi servizi stabilisce che è necessario scambiare ICUE con un'altra istituzione, agenzia, organo o ufficio dell'Unione o con uno Stato terzo od organizzazione internazionale, vengono adottate le misure necessarie per predisporre un adeguato quadro giuridico o amministrativo a tale scopo, che potrebbe comprendere accordi sulla sicurezza delle informazioni o accordi amministrativi conclusi a norma dei pertinenti regolamenti.

2. Fatto salvo l'articolo 57, le ICUE sono scambiate con un'altra istituzione, agenzia, organo o ufficio dell'Unione o con uno Stato terzo o un'organizzazione internazionale solo se è predisposto il suddetto quadro giuridico o amministrativo adeguato e se vi sono garanzie sufficienti in merito all'applicazione di principi di base e norme minime equivalenti per la protezione di informazioni classificate da parte dell'istituzione, agenzia, organo o ufficio dell'Unione o dello Stato terzo o dell'organizzazione internazionale interessati.

Art. 52 Scambio di ICUE con altre istituzioni, agenzie, organi e uffici dell'Unione

1. Prima di stipulare un accordo amministrativo per lo scambio di ICUE con altre istituzioni, agenzie, organi o uffici dell'Unione, la Commissione si assicura che l'istituzione, l'agenzia, l'organo o l'ufficio dell'Unione interessati:

  1. a) disponga di un quadro normativo per la protezione delle ICUE che preveda principi di base e norme minime equivalenti a quelli stabiliti nella presente decisione e nelle relative norme di attuazione;

  2. b) applichi norme di sicurezza e orientamenti in materia di sicurezza del personale, sicurezza materiale, gestione delle ICUE e sicurezza dei sistemi di informazione e comunicazione (CIS) che garantiscano un livello di protezione delle ICUE equivalente a quello della Commissione;

  3. c) contrassegni come ICUE le informazioni classificate prodotte.

2. La direzione generale Risorse umane e sicurezza, in stretta collaborazione con altri pertinenti servizi della Commissione, è il servizio capofila della Commissione per la conclusione di accordi amministrativi per lo scambio di ICUE con altre istituzioni, agenzie, organi o uffici dell'Unione.

3. Di norma gli accordi amministrativi assumono la forma di uno scambio di lettere firmate dal direttore generale delle risorse umane e sicurezza a nome della Commissione.

4. Prima di stipulare un accordo amministrativo sullo scambio di ICUE, l'autorità di sicurezza della Commissione effettua una visita per valutare il quadro normativo che tutela le ICUE e accertare l'efficacia delle misure attuate per proteggere le ICUE. Gli accordi amministrativi entrano in vigore e le ICUE sono scambiate solo se il risultato della visita di valutazione è soddisfacente e sono state rispettate le raccomandazioni formulate in tale occasione. Sono effettuate regolari visite di valutazione per verificare il rispetto degli accordi amministrativi e l'attuazione delle misure di sicurezza nel continuo rispetto dei principi di base e delle norme minime concordati.

5. Nella Commissione, l'ufficio di registrazione delle ICUE gestito dal Segretariato generale è di norma il principale punto d'ingresso e uscita per gli scambi delle informazioni classificate con altre istituzioni, agenzie, organi e uffici dell'Unione. Tuttavia, se per motivi operativi, organizzativi o di sicurezza è più appropriato per la protezione delle ICUE, gli uffici locali di registrazione delle ICUE istituiti nei servizi della Commissione conformemente alla presente decisione operano come principale punto d'ingresso e uscita delle informazioni classificate, nell'ambito delle competenze dei servizi della Commissione interessati.

6. Il gruppo di esperti in materia di sicurezza della Commissione è informato delle procedure per la conclusione di accordi amministrativi a norma del paragrafo 2.

Fonti e licenze