Decisione (UE, Euratom) 2015/444 della Commissione del 13 marzo 2015 sulle norme di sicurezza per proteggere le informazioni classificate UE

1. Se la Commissione o uno dei suoi servizi stabilisce che è necessario scambiare ICUE con un'altra istituzione, agenzia, organo o ufficio dell'Unione o con uno Stato terzo od organizzazione internazionale, vengono adottate le misure necessarie per predisporre un adeguato quadro giuridico o amministrativo a tale scopo, che potrebbe comprendere accordi sulla sicurezza delle informazioni o accordi amministrativi conclusi a norma dei pertinenti regolamenti.

2. Fatto salvo l'articolo 57, le ICUE sono scambiate con un'altra istituzione, agenzia, organo o ufficio dell'Unione o con uno Stato terzo o un'organizzazione internazionale solo se è predisposto il suddetto quadro giuridico o amministrativo adeguato e se vi sono garanzie sufficienti in merito all'applicazione di principi di base e norme minime equivalenti per la protezione di informazioni classificate da parte dell'istituzione, agenzia, organo o ufficio dell'Unione o dello Stato terzo o dell'organizzazione internazionale interessati.

1. Prima di stipulare un accordo amministrativo per lo scambio di ICUE con altre istituzioni, agenzie, organi o uffici dell'Unione, la Commissione si assicura che l'istituzione, l'agenzia, l'organo o l'ufficio dell'Unione interessati:

1. a) disponga di un quadro normativo per la protezione delle ICUE che preveda principi di base e norme minime equivalenti a quelli stabiliti nella presente decisione e nelle relative norme di attuazione;

2. b) applichi norme di sicurezza e orientamenti in materia di sicurezza del personale, sicurezza materiale, gestione delle ICUE e sicurezza dei sistemi di informazione e comunicazione (CIS) che garantiscano un livello di protezione delle ICUE equivalente a quello della Commissione;

3. c) contrassegni come ICUE le informazioni classificate prodotte.

2. La direzione generale Risorse umane e sicurezza, in stretta collaborazione con altri pertinenti servizi della Commissione, è il servizio capofila della Commissione per la conclusione di accordi amministrativi per lo scambio di ICUE con altre istituzioni, agenzie, organi o uffici dell'Unione.

3. Di norma gli accordi amministrativi assumono la forma di uno scambio di lettere firmate dal direttore generale delle risorse umane e sicurezza a nome della Commissione.

4. Prima di stipulare un accordo amministrativo sullo scambio di ICUE, l'autorità di sicurezza della Commissione effettua una visita per valutare il quadro normativo che tutela le ICUE e accertare l'efficacia delle misure attuate per proteggere le ICUE. Gli accordi amministrativi entrano in vigore e le ICUE sono scambiate solo se il risultato della visita di valutazione è soddisfacente e sono state rispettate le raccomandazioni formulate in tale occasione. Sono effettuate regolari visite di valutazione per verificare il rispetto degli accordi amministrativi e l'attuazione delle misure di sicurezza nel continuo rispetto dei principi di base e delle norme minime concordati.

5. Nella Commissione, l'ufficio di registrazione delle ICUE gestito dal Segretariato generale è di norma il principale punto d'ingresso e uscita per gli scambi delle informazioni classificate con altre istituzioni, agenzie, organi e uffici dell'Unione. Tuttavia, se per motivi operativi, organizzativi o di sicurezza è più appropriato per la protezione delle ICUE, gli uffici locali di registrazione delle ICUE istituiti nei servizi della Commissione conformemente alla presente decisione operano come principale punto d'ingresso e uscita delle informazioni classificate, nell'ambito delle competenze dei servizi della Commissione interessati.

6. Il gruppo di esperti in materia di sicurezza della Commissione è informato delle procedure per la conclusione di accordi amministrativi a norma del paragrafo 2.

1. Le ICUE possono essere scambiate con gli Stati membri e comunicate ad essi a patto che essi proteggano tali informazioni in base ai requisiti applicabili alle informazioni classificate che recano un contrassegno di classifica di sicurezza nazionale di livello equivalente, come indicato nella tabella di equivalenza delle classifiche di sicurezza contenuta nell'allegato I.

2. Quando gli Stati membri introducono informazioni classificate che recano un contrassegno di classifica di sicurezza nazionale nelle strutture o nelle reti dell'Unione europea, quest'ultima protegge tali informazioni conformemente ai requisiti applicabili alle ICUE di livello equivalente come indicato nella tabella di equivalenza delle classifiche di sicurezza che figura nell'allegato I.

1. Se la Commissione stabilisce di avere necessità a lungo termine di scambiare informazioni classificate con Stati terzi od organizzazioni internazionali, vengono adottate le misure necessarie per predisporre un adeguato quadro giuridico o amministrativo a tale scopo, che potrebbe comprendere accordi sulla sicurezza delle informazioni o accordi amministrativi conclusi a norma dei pertinenti regolamenti.

2. Gli accordi sulla sicurezza delle informazioni o gli accordi amministrativi di cui al paragrafo 1 contengono disposizioni intese ad assicurare che gli Stati terzi o le organizzazioni internazionali che ricevono le ICUE conferiscano loro una protezione appropriata al loro livello di classifica e conforme a norme minime che equivalgono a quelle previste nella presente decisione.

3. La Commissione può pattuire accordi amministrativi a norma dell'articolo 56, se la classifica delle ICUE non supera in genere il livello RESTREINT UE/EU RESTRICTED.

4. Gli accordi amministrativi per lo scambio di informazioni classificate di cui al paragrafo 3 contengono disposizioni intese ad assicurare che gli Stati terzi o le organizzazioni internazionali che ricevono le ICUE conferiscano loro una protezione appropriata al loro livello di classifica e conforme a norme minime che equivalgono a quelle previste nella presente decisione. Il gruppo di esperti in materia di sicurezza della Commissione è consultato in merito alla conclusione di accordi sulla sicurezza delle informazioni o di accordi amministrativi.

5. La decisione di comunicare a Stati terzi od organizzazioni internazionali le ICUE originate dalla Commissione è presa caso per caso dal servizio della Commissione all'origine di dette ICUE nella Commissione, in funzione della natura e del contenuto di tali informazioni, della necessità di conoscere del destinatario e dell'entità dei vantaggi per l'Unione. Se l'originatore delle informazioni classificate che si desiderano comunicare, o delle fonti che può contenere, non è la Commissione, il servizio della Commissione che detiene tali informazioni classificate chiede anzitutto il consenso scritto dell'originatore. Se non è possibile stabilire l'originatore, il servizio della Commissione che detiene tali informazioni classificate ne assume la responsabilità dopo aver consultato il gruppo di esperti in materia di sicurezza della Commissione.

1. Gli accordi sulla sicurezza delle informazioni con Stati terzi od organizzazioni internazionali sono conclusi a norma dell'articolo 218 del TFUE.

2. Gli accordi sulla sicurezza delle informazioni:

1. a) stabiliscono i principi fondamentali e le norme minime che disciplinano lo scambio di informazioni classificate tra l'Unione e uno Stato terzo od organizzazione internazionale;

2. b) prevedono modalità tecniche di attuazione da concordare tra le competenti autorità di sicurezza delle istituzioni e degli organi pertinenti dell'Unione e la competente autorità di sicurezza dello Stato terzo o dell'organizzazione internazionale interessati. Tali accordi tengono conto del livello di protezione garantito dalle normative, dalle strutture e dalle procedure in materia di sicurezza esistenti nello Stato terzo o nell'organizzazione internazionale in questione;

3. c) prevedono che, prima dello scambio di informazioni classificate nel quadro dell'accordo, si accerti che il destinatario è in grado di proteggere e salvaguardare in modo appropriato le informazioni classificate che gli vengono fornite.

3. Qualora a norma dell'articolo 51, paragrafo 1, si stabilisca la necessità di scambiare informazioni classificate, la Commissione consulta il Servizio europeo per l'azione esterna, il Segretariato generale del Consiglio e altre istituzioni e organi dell'Unione, se opportuno, per decidere se occorre presentare una raccomandazione a norma dell'articolo 218, paragrafo 3, del TFUE.

4. Le ICUE non sono oggetto di scambio per via elettronica, a meno che non sia esplicitamente previsto dall'accordo sulla sicurezza delle informazioni o dalle modalità tecniche di attuazione.

5. Nella Commissione, l'ufficio di registrazione delle ICUE gestito dal segretariato generale è di norma il principale punto d'ingresso e uscita per gli scambi delle informazioni classificate con Stati terzi e organizzazioni internazionali. Tuttavia, se per motivi operativi, organizzativi o di sicurezza è più appropriato per la protezione delle ICUE, gli uffici locali di registrazione delle ICUE istituiti nei servizi della Commissione conformemente alla presente decisione operano come principale punto d'ingresso e uscita delle informazioni classificate, nell'ambito delle competenze dei servizi della Commissione interessati.

6. Per valutare l'efficacia delle normative, delle strutture e delle procedure di sicurezza nello Stato terzo o nell'organizzazione internazionale in questione, la Commissione, in collaborazione con altre istituzioni, agenzie o organi dell'Unione, partecipa a visite di valutazione di comune accordo con lo Stato terzo o l'organizzazione internazionale interessati. Tali visite valutano:

1. a) il quadro normativo applicabile per la protezione delle informazioni classificate;

2. b) eventuali aspetti specifici della politica di sicurezza e del modo in cui è organizzata la sicurezza nello Stato terzo o nell'organizzazione internazionale che potrebbero avere un impatto sul livello delle informazioni classificate che possono essere oggetto di scambio;

3. c) le misure e le procedure di sicurezza effettivamente attuate; e

4. d) le procedure per il nulla osta di sicurezza per il livello delle ICUE da comunicare.

1. Qualora nell'ambito di un contesto politico o giuridico dell'Unione sussista una necessità a lungo termine di scambiare informazioni classificate in generale di livello non superiore a RESTREINT UE/EU RESTRICTED con uno Stato terzo o un'organizzazione internazionale e qualora l'autorità di sicurezza della Commissione, previa consultazione del gruppo di esperti in materia di sicurezza della Commissione, abbia stabilito in particolare che la parte in questione non possiede un sistema di sicurezza sufficientemente sviluppato da consentirle di concludere un accordo sulla sicurezza delle informazioni, la Commissione può pattuire accordi amministrativi con le autorità competenti dello Stato terzo o dell'organizzazione internazionale in questione.

2. Gli accordi amministrativi assumono di norma la forma di uno scambio di lettere.

3. Prima di concludere l'accordo viene effettuata una visita di valutazione. Il gruppo di esperti in materia di sicurezza della Commissione è informato dei risultati della visita di valutazione. Qualora vi siano ragioni eccezionali per uno scambio urgente di informazioni classificate, possono essere comunicate ICUE purché venga compiuto ogni sforzo per effettuare tale visita di valutazione il più presto possibile.

4. Le ICUE non sono oggetto di scambio per via elettronica a meno che non sia esplicitamente previsto dall'accordo amministrativo.

1. Se non sono stati conclusi accordi sulla sicurezza delle informazioni o accordi amministrativi e se la Commissione o uno dei suoi servizi stabilisce che sussista una necessità eccezionale, nell'ambito di un contesto politico o giuridico dell'Unione, di comunicare ICUE ad uno Stato terzo od ad un'organizzazione internazionale, l'autorità di sicurezza della Commissione, per quanto possibile, verifica con le autorità di sicurezza dello Stato terzo o dell'organizzazione internazionale interessati che le rispettive normative, strutture e procedure in materia di sicurezza siano tali da garantire che le ICUE comunicate siano protette secondo norme non meno rigorose di quelle previste nella presente decisione.

2. La decisione di comunicare ICUE allo Stato terzo o all'organizzazione internazionale in questione, previa consultazione del gruppo di esperti in materia di sicurezza della Commissione, viene presa dalla Commissione in base a una proposta del membro della Commissione responsabile della sicurezza.

3. In seguito alla decisione della Commissione di comunicare ICUE e previo consenso scritto dell'originatore, compresi gli originatori delle fonti che possono contenere, il servizio competente della Commissione inoltra le informazioni in questione, che riportano un contrassegno di divulgabilità indicante lo Stato terzo o l'organizzazione internazionale cui sono state comunicate. Prima o al momento della comunicazione effettiva, il terzo in questione si impegna per iscritto a proteggere le ICUE che riceve conformemente ai principi fondamentali e alle norme minime stabiliti nella presente decisione.

1. Tutte le ICUE classificate conformemente alla decisione 2001/844/CE, CECA, Euratom continuano a essere protette conformemente alle pertinenti disposizioni della presente decisione.

2. Tutte le informazioni classificate in possesso della Commissione alla data di entrata in vigore della decisione 2001/844/CE, CECA, Euratom, eccetto le informazioni classificate Euratom:

1. a) se create dalla Commissione, continuano a essere considerate riclassificate per difetto al livello «RISERVATO UE», a meno che l'autore abbia deciso di conferire loro un'altra classificazione entro il 31 gennaio 2002 e ne abbia informato tutti i destinatari del documento in questione;

2. b) se create da fonti esterne alla Commissione, conservano la classificazione originaria e sono quindi trattate come ICUE di grado equivalente, a meno che l'autore acconsenta a declassificarle o declassarle.