Decisione (UE, Euratom) 2015/444 della Commissione del 13 marzo 2015 sulle norme di sicurezza per proteggere le informazioni classificate UE
Testo vigente
LA COMMISSIONE EUROPEA,
visto il trattato sul funzionamento dell'Unione europea, in particolare l'articolo 249,
visto il trattato che istituisce la Comunità europea dell'energia atomica, in particolare l'articolo 106,
visto il protocollo n. 7 sui privilegi e le immunità dell'Unione europea allegato ai trattati, in particolare l'articolo 18,
È necessario rivedere e aggiornare le disposizioni della Commissione in materia di sicurezza per la protezione delle informazioni classificate UE (ICUE), tenendo conto degli sviluppi istituzionali, organizzativi, operativi e tecnologici.
La Commissione europea ha concluso accordi per la sicurezza delle proprie sedi principali con i governi di Belgio, Lussemburgo e Italia1.
La Commissione, il Consiglio e il Servizio europeo per l'azione esterna si impegnano ad applicare norme di sicurezza equivalenti per proteggere le ICUE.
È importante associare, ove opportuno, il Parlamento europeo e altre istituzioni, organi o organismi dell'Unione a principi, norme e regole per proteggere le informazioni classificate che sono necessari per salvaguardare gli interessi dell'Unione e dei suoi Stati membri.
Il rischio per le ICUE è gestito secondo una procedura. Tale procedura è volta a determinare i rischi noti per la sicurezza, a definire le misure di sicurezza per contenere tali rischi entro un livello accettabile conformemente ai principi fondamentali e alle norme minime stabiliti nella presente decisione, e ad applicare tali misure secondo il concetto di difesa in profondità. L'efficacia di tali misure è valutata costantemente.
Alla Commissione, per «sicurezza materiale per la protezione di informazioni classificate» si intende l'applicazione di misure di protezione materiali e tecniche volte a impedire l'accesso non autorizzato alle ICUE.
Per «gestione delle ICUE» si intende l'applicazione delle misure amministrative intese a controllare le ICUE per tutto il loro ciclo di vita, al fine di integrare le misure previste ai capi 2, 3 e 5 della presente decisione e in tal modo contribuire a scoraggiare e scoprire casi di compromissione o perdita intenzionale o accidentale di tali informazioni. Dette misure riguardano in particolare la creazione, l'archiviazione, la registrazione, la copiatura, la traduzione, il declassamento, la declassificazione, il trasporto e la distruzione di ICUE e integrano le norme generali della Commissione sulla gestione dei documenti [decisioni 2002/47/CE2, CECA, Euratom e 2004/563/CE, Euratom3].
Le disposizioni della presente decisione non pregiudicano:
a) il regolamento (Euratom) n. 34;
b) il regolamento (CE) n. 1049/2001 del Parlamento europeo e del Consiglio5;
c) il regolamento (CE) n. 45/2001 del Parlamento europeo e del Consiglio6;
d) il regolamento (CEE, Euratom) n. 354/83 del Consiglio7,
HA ADOTTATO LA PRESENTE DECISIONE:
Capo 1. Principi fondamentali e norme minime di sicurezza
Art. 1 Definizioni
Ai fini della presente decisione si intende per:
1) «servizio della Commissione», direzioni generali, servizi della Commissione o gabinetti dei membri della Commissione;
2) «materiale crittografico (crypto)», algoritmi crittografici, moduli hardware e software crittografici e prodotti comprendenti dettagli di attuazione e documentazione associata e materiale di codifica;
3) «declassificazione», la soppressione di qualsiasi classifica di sicurezza;
4) «difesa in profondità», l'applicazione di una serie di misure di sicurezza organizzate come fasi multiple di difesa;
5) «documento», qualsiasi informazione registrata, a prescindere dalla sua forma o dalle sue caratteristiche materiali;
6) «declassamento», una riduzione del livello di classifica di sicurezza;
7) «trattamento» delle ICUE, qualsiasi azione di cui possono essere oggetto le ICUE nel loro ciclo di vita. Ciò comprende la loro creazione, registrazione, elaborazione, trasporto, declassamento, declassificazione e distruzione. In relazione ai sistemi di comunicazione e informazione (CIS) il trattamento comprende anche la raccolta, la visualizzazione, la trasmissione e la conservazione;
8) «detentore», una persona debitamente autorizzata con una necessità di conoscere stabilita, che detiene un elemento di ICUE ed è di conseguenza responsabile della sua protezione;
9) «norme di attuazione», l'insieme di norme o di comunicazioni di sicurezza adottate in conformità al capo 5 della decisione (UE, Euratom) 2015/443 della Commissione8;
10) «materiale», qualsiasi mezzo, vettore di dati o elemento di macchinario o attrezzatura, sia sotto forma di prodotto finito sia in corso di lavorazione;
11) «originatore», un'istituzione, agenzia o organo dell'Unione, Stato membro, Stato terzo o organizzazione internazionale sotto la cui autorità sono state create e/o introdotte nelle strutture dell'Unione informazioni classificate;
12) «locali», beni immobili o assimilabili della Commissione;
13) «procedura di gestione del rischio di sicurezza», l'intera procedura che consiste nell'individuare, controllare e ridurre al minimo eventi incerti che possono incidere sulla sicurezza di un'organizzazione o di un qualsiasi sistema in uso. Essa contempla tutte le attività correlate al rischio, tra cui la valutazione, il trattamento, l'accettazione e la comunicazione;
14) «statuto», lo statuto dei funzionari dell'Unione europea e il regime applicabile agli altri agenti dell'Unione europea definiti dal regolamento (CEE, Euratom, CECA) n. 259/68 del Consiglio9;
15) «minaccia», causa potenziale di un incidente indesiderato che può recar danno a un'organizzazione o a uno dei sistemi in uso; tali minacce possono essere accidentali o intenzionali (dolose) e sono caratterizzate da elementi di minaccia, potenziali obiettivi e metodologie d'attacco;
16) «vulnerabilità», una debolezza di qualsiasi tipo che una o più minacce possono sfruttare. La vulnerabilità può derivare da un'omissione o essere legata a una debolezza nei controlli in termini di rigore, completezza o coerenza e può essere di natura tecnica, procedurale, materiale, organizzativa od operativa.
Art. 2 Oggetto e campo di applicazione
1. La presente decisione stabilisce i principi fondamentali e le norme minime di sicurezza per proteggere le ICUE.
2. La presente decisione si applica a tutti i servizi e in tutti i locali della Commissione.
3. Fatte salve indicazioni specifiche relative a particolari categorie del personale, la presente decisione si applica ai membri della Commissione, al personale della Commissione soggetto allo statuto dei funzionari dell'Unione europea e regime applicabile agli altri agenti dell'Unione, agli esperti nazionali distaccati presso la Commissione (END), ai prestatori di servizi e al loro personale, ai tirocinanti e alle persone che hanno accesso a fabbricati o altre risorse della Commissione, o alle informazioni trattate dalla Commissione.
4. Le disposizioni della presente decisione non pregiudicano la decisione 2002/47/CE, CECA, Euratom e la decisione 2004/563/CE, Euratom.
Art. 3 Definizione delle ICUE, delle classifiche e dei contrassegni di sicurezza
1. Per «informazioni classificate UE» (ICUE) si intende qualsiasi informazione o qualsiasi materiale designati da una classifica di sicurezza UE, la cui divulgazione non autorizzata potrebbe recare in varia misura pregiudizio agli interessi dell'Unione europea o di uno o più Stati membri.
2. Le ICUE sono classificate a uno dei seguenti livelli:
a) TRES SECRET UE/EU TOP SECRET: informazioni e materiali la cui divulgazione non autorizzata potrebbe arrecare danni di eccezionale gravità agli interessi fondamentali dell'Unione europea o di uno o più Stati membri;
b) SECRET UE/EU SECRET: informazioni e materiali la cui divulgazione non autorizzata potrebbe ledere gravemente gli interessi fondamentali dell'Unione europea o di uno o più Stati membri;
c) CONFIDENTIEL UE/EU CONFIDENTIAL: informazioni e materiali la cui divulgazione non autorizzata potrebbe ledere gli interessi fondamentali dell'Unione europea o di uno o più Stati membri;
d) RESTREINT UE/EU RESTRICTED: informazioni e materiali la cui divulgazione non autorizzata potrebbe essere pregiudizievole per gli interessi dell'Unione europea o di uno o più Stati membri.
3. Le ICUE recano un contrassegno di classifica di sicurezza conformemente al paragrafo 2. Esse possono recare contrassegni supplementari diversi dai contrassegni di classifica di sicurezza intesi a designare il settore di attività cui si riferiscono, identificare l'originatore, limitare la distribuzione, restringere l'uso o indicare la divulgabilità.
Art. 4 Gestione delle classifiche
1. Tutti i membri e i servizi della Commissione garantiscono che le ICUE create siano adeguatamente classificate, chiaramente identificate quali ICUE e conservino il loro livello di classifica solo per il tempo necessario.
2. Fatto salvo l'articolo 26, le ICUE non sono declassate o declassificate né i contrassegni di classifica di sicurezza di cui all'articolo 3, paragrafo 2, sono modificati o rimossi senza il previo consenso scritto dell'originatore.
3. Ove opportuno, si adottano «norme di attuazione» sul trattamento delle ICUE, compresa una guida pratica alla classificazione, a norma dell'articolo 60.
Art. 5 Protezione di informazioni classificate
1. Le ICUE sono protette conformemente alla presente decisione e alle sue norme di attuazione.
2. Il detentore di qualsiasi ICUE è responsabile della sua protezione, a norma della presente decisione e delle relative norme di attuazione, in base alle regole stabilite al capo 4.
3. Quando gli Stati membri introducono informazioni classificate che recano un contrassegno di classifica di sicurezza nazionale nelle strutture o nelle reti della Commissione, quest'ultima protegge tali informazioni conformemente ai requisiti applicabili alle ICUE di livello equivalente come indicato nella tabella di equivalenza delle classifiche di sicurezza che figura nell'allegato I.
4. Un insieme di ICUE può richiedere un livello di protezione corrispondente a una classifica più elevata di quella dei singoli componenti.
Art. 6 Gestione del rischio di sicurezza
1. Le misure di sicurezza per proteggere le ICUE nel corso del loro ciclo di vita sono commisurate in particolare alla rispettiva classifica di sicurezza, alla forma e al volume delle informazioni o dei materiali, all'ubicazione e alla costruzione delle strutture in cui sono conservate le ICUE e alla valutazione a livello locale della minaccia di attività dolose e/o criminali, compreso lo spionaggio, il sabotaggio e il terrorismo.
2. I piani di emergenza tengono conto della necessità di proteggere le ICUE in situazioni di emergenza onde evitare l'accesso non autorizzato, la divulgazione o la perdita di integrità o di disponibilità.
3. I piani di continuità operativa di tutti i servizi comprendono misure di prevenzione e recupero per minimizzare l'impatto di disfunzioni o incidenti gravi nel trattamento e nella conservazione delle ICUE.
Art. 7 Attuazione della presente decisione
1. Ove opportuno, vengono adottate norme di attuazione intese a integrare o sostenere la presente decisione a norma dell'articolo 60.
2. I servizi della Commissione adottano tutte le misure necessarie che rientrano nelle loro competenze per garantire l'applicazione della presente decisione, e delle pertinenti norme di attuazione, nel trattamento o nella conservazione delle ICUE o di altre informazioni classificate.
3. Le misure di sicurezza adottate nell'attuare la presente decisione devono essere conformi ai principi per la sicurezza nella Commissione stabiliti all'articolo 3 della decisione (UE, Euratom) 2015/443.
4. Il direttore generale delle risorse umane e della sicurezza istituisce l'autorità di sicurezza della Commissione all'interno della propria direzione generale. All'autorità di sicurezza della Commissione sono assegnate le responsabilità stabilite dalla presente decisione e dalle sue norme di attuazione.
5. In tutti i servizi della Commissione, al responsabile locale della sicurezza, come stabilito all'articolo 20 della decisione (UE, Euratom) 2015/443, saranno assegnate le seguenti responsabilità generali per la protezione delle ICUE sulla base della presente decisione, in stretta collaborazione con la direzione generale Risorse umane e sicurezza:
a) gestione delle richieste di autorizzazioni di sicurezza per il personale;
b) collaborazione alle formazioni in materia di sicurezza e alle riunioni di sensibilizzazione;
c) supervisione del funzionario responsabile del controllo delle registrazioni (RCO) del servizio;
d) comunicazione delle violazioni della sicurezza e della compromissione di ICUE;
e) conservazione delle chiavi di riserva e di una traccia scritta di tutte le combinazioni;
f) assunzione di altre mansioni legate alla protezione di ICUE o stabilite dalle norme di attuazione.
Art. 8 Violazioni della sicurezza e compromissione di ICUE
1. La violazione della sicurezza è conseguenza di un atto o omissione di una persona contrario alle norme di sicurezza contenute nella presente decisione e nelle sue norme di attuazione.
2. La compromissione di ICUE si verifica quando, in seguito a una violazione della sicurezza, le ICUE sono state diffuse in tutto o in parte a persone non autorizzate.
3. Qualsiasi violazione o sospetta violazione della sicurezza è immediatamente riferita all'autorità di sicurezza della Commissione.
4. Qualora sia noto o vi siano ragionevoli motivi di ritenere che vi sia stata compromissione o perdita di ICUE, è necessario svolgere un'indagine di sicurezza a norma dell'articolo 13 della decisione (UE, Euratom) 2015/443.
5. È necessario adottare tutte le misure necessarie a:
a) informare l'originatore;
b) assicurare che personale non direttamente interessato alla violazione indaghi sul caso per accertare i fatti;
c) valutare i potenziali danni agli interessi dell'Unione o degli Stati membri;
d) adottare i provvedimenti opportuni per impedire che i fatti si ripetano; e
e) informare le autorità competenti delle misure adottate.
6. Ogni persona responsabile di una violazione delle norme di sicurezza contenute nella presente decisione è passibile di azione disciplinare conformemente allo statuto. Ogni persona responsabile della compromissione o della perdita di ICUE è passibile di sanzioni disciplinari e/o azioni legali conformemente alle disposizioni legislative, normative e regolamentari applicabili.
Capo 2. Sicurezza del personale
Art. 9 Definizioni
Ai fini del presente capo si intende per:
1) «autorizzazione di accesso alle ICUE», una decisione dell'autorità di sicurezza della Commissione adottata sulla base dell'assicurazione data da un'autorità competente di uno Stato membro in base alla quale un funzionario o altro agente o esperto nazionale distaccato può, quando sia stata accertata la sua necessità di conoscere e una volta istruito sulle proprie responsabilità, avere accesso alle ICUE fino a un livello di classifica specifico (CONFIDENTIEL UE/EU CONFIDENTIAL o superiore) e fino a una data stabilita; la persona che risponde a tale descrizione è indicata come in possesso del «nulla osta di sicurezza»;
2) «autorizzazione di sicurezza del personale», l'applicazione di misure volte a garantire che l'accesso alle ICUE sia consentito solo alle persone che:
a) hanno necessità di conoscere;
b) hanno ottenuto il nulla osta di sicurezza del livello adatto, ove opportuno; e
c) sono state informate delle proprie responsabilità.
3) «nulla osta di sicurezza del personale» (PSC), una dichiarazione dell'autorità competente di uno Stato membro fatta al termine di un'indagine di sicurezza condotta dalle autorità competenti di uno Stato membro e attestante che una persona, quando sia stata accertata la sua necessità di conoscere e una volta istruita sulle proprie responsabilità, può avere accesso alle ICUE fino a un livello di classifica specifico (CONFIDENTIEL UE/EU CONFIDENTIAL o superiore) e a una data stabilita;
4) «certificato di nulla osta di sicurezza del personale» (PSCC), un certificato rilasciato dall'autorità competente attestante che una persona ha ottenuto il nulla osta di sicurezza o possiede un'autorizzazione di accesso alle ICUE rilasciata dall'autorità di sicurezza della Commissione in corso di validità, in cui figura il livello di ICUE cui detta persona può accedere (CONFIDENTIEL UE/EU CONFIDENTIAL o superiore), la data di validità del relativo nulla osta o autorizzazione e la data di scadenza del certificato stesso;
5) «indagine di sicurezza», le procedure investigative condotte dall'autorità competente di uno Stato membro conformemente alle disposizioni legislative e regolamentari nazionali volte ad accertare l'inesistenza di informazioni negative note sul conto di una persona che osterebbero alla concessione di un nulla osta di sicurezza fino a un livello specifico CONFIDENTIEL UE/EU CONFIDENTIAL o superiore);
Art. 10 Principi di base
1. Una persona è autorizzata ad accedere ad ICUE dopo che:
1) sia stata accertata la sua necessità di conoscere;
2) sia stata istruita sulle norme di sicurezza per la protezione delle ICUE, nonché sulle norme e gli orientamenti di sicurezza pertinenti, ed abbia riconosciuto le proprie responsabilità in materia di protezione di tali informazioni;
3) per le informazioni classificate di livello CONFIDENTIEL UE/EU CONFIDENTIAL e superiore, abbia ottenuto il nulla osta di sicurezza del livello adatto o sia in altro modo debitamente autorizzata in virtù delle proprie funzioni secondo le disposizioni legislative e regolamentari nazionali;
2. Tutte le persone le cui mansioni richiedono l'accesso a ICUE di livello CONFIDENTIEL UE/EU CONFIDENTIAL o superiore dispongono del nulla osta di sicurezza del livello adatto prima di poter accedere a dette ICUE. La persona interessata esprime per iscritto il proprio consenso a essere soggetta alla procedura per il nulla osta di sicurezza del personale. In mancanza di detto consenso, alla persona non possono essere assegnati posti, funzioni o mansioni che prevedano l'accesso a informazioni classificate al livello CONFIDENTIEL UE/EU CONFIDENTIAL o superiore.
3. Le procedure per il nulla osta di sicurezza del personale sono intese a determinare se una persona, in considerazione della sua lealtà, onestà e affidabilità, può essere autorizzata ad accedere alle ICUE.
4. La lealtà, l'onestà e l'affidabilità di una persona ai fini della concessione di un nulla osta di sicurezza per l'accesso a informazioni classificate di livello CONFIDENTIEL UE/EU CONFIDENTIAL o superiore sono accertate mediante un'indagine di sicurezza condotta dall'autorità competente di uno Stato membro conformemente alle disposizioni legislative e regolamentari nazionali.
5. L'autorità di sicurezza della Commissione è l'unica autorizzata a mantenere un collegamento con le autorità di sicurezza nazionali o altre autorità nazionali competenti per quanto riguarda tutti i nulla osta di sicurezza. Tutti i contatti tra i servizi della Commissione, il loro personale, le autorità di sicurezza nazionali e altre autorità competenti avvengono attraverso l'autorità di sicurezza della Commissione.
Art. 11 Procedura di autorizzazione di sicurezza
1. I direttori generali o i capi servizio della Commissione individuano all'interno del proprio servizio le persone che necessitano di accedere a informazioni classificate di livello CONFIDENTIEL UE/EU CONFIDENTIAL o superiore per svolgere le proprie mansioni e che pertanto necessitano di un'autorizzazione di sicurezza.
2. Non appena sia noto che una persona assumerà una posizione che necessita dell'accesso a informazioni classificate di livello CONFIDENTIEL UE/EU CONFIDENTIAL o superiore, il responsabile locale della sicurezza del servizio della Commissione interessato informa l'autorità di sicurezza della Commissione, che trasmette alla persona il questionario per il nulla osta di sicurezza emesso dall'autorità di sicurezza nazionale dello Stato membro con la cui nazionalità la persona è stata assunta come membro del personale delle istituzioni europee. L'interessato esprime in forma scritta il proprio consenso a essere sottoposto alla procedura per il nulla osta di sicurezza e restituisce al più presto il questionario all'autorità di sicurezza della Commissione.
3. L'autorità di sicurezza della Commissione trasmette il questionario per il nulla osta di sicurezza compilato all'autorità di sicurezza nazionale dello Stato membro con la cui nazionalità la persona è stata assunta come membro del personale delle istituzioni europee, chiedendo di avviare un'indagine di sicurezza per il livello di ICUE a cui la persona può chiedere di accedere.
4. Se viene a conoscenza di informazioni rilevanti per l'indagine di sicurezza relativa a una persona che ha chiesto un nulla osta di sicurezza, l'autorità di sicurezza della Commissione le comunica all'autorità di sicurezza nazionale competente conformemente alle pertinenti disposizioni legislative e regolamentari.
5. Al termine dell'indagine di sicurezza e non appena possibile dopo aver ricevuto la comunicazione da parte della pertinente autorità di sicurezza nazionale circa la valutazione generale dei risultati dell'indagine, l'autorità di sicurezza della Commissione:
a) può concedere un'autorizzazione per accedere alle ICUE alla persona interessata e autorizzare l'accesso alle ICUE fino al livello pertinente fino a una data specificata dalla persona ma per cinque anni al massimo, qualora dall'indagine di sicurezza emerga la garanzia dell'inesistenza di informazioni negative note che metterebbero in discussione la lealtà, l'onestà e l'affidabilità della persona;
b) se dall'indagine di sicurezza non emerge tale garanzia, conformemente alle pertinenti disposizioni legislative e regolamentari, ne dà comunicazione alla persona interessata, la quale può chiedere di essere ascoltata dall'autorità di sicurezza della Commissione, che a sua volta può rivolgersi all'autorità di sicurezza nazionale competente per ulteriori chiarimenti che quest'ultima può fornire in base alle disposizioni legislative e regolamentari nazionali. In caso di riconferma dell'esito dell'indagine di sicurezza, l'autorizzazione ad accedere alle ICUE non può essere concessa.
6. L'indagine di sicurezza e relativi risultati sono soggetti alle pertinenti disposizioni legislative e regolamentari vigenti nello Stato membro in questione, ivi comprese quelle relative ai ricorsi. Le decisioni dell'autorità di sicurezza della Commissione sono soggette a ricorso conformemente allo statuto.
7. La Commissione accetta l'autorizzazione di accesso alle ICUE rilasciata da qualsiasi altra istituzione, organo o organismo dell'Unione, purché in corso di validità. L'autorizzazione copre qualsiasi incarico della persona interessata nella Commissione. L'istituzione, l'organo o l'agenzia dell'Unione in cui persona interessata è assunta notifica all'autorità di sicurezza nazionale competente il cambiamento del datore di lavoro.
8. Se il periodo di servizio di una persona non inizia entro dodici mesi dalla comunicazione dell'esito dell'indagine di sicurezza all'autorità di sicurezza della Commissione o se vi è un'interruzione del servizio di dodici mesi, durante la quale la persona non ha occupato un posto presso la Commissione o qualunque altra istituzione, organo o agenzia dell'Unione o presso l'amministrazione di uno Stato membro, l'autorità di sicurezza della Commissione riferisce la questione all'autorità di sicurezza nazionale, affinché questa confermi se il nulla osta di sicurezza resta valido e pertinente.
9. Se viene a conoscenza di informazioni concernenti un rischio per la sicurezza posto da una persona in possesso di un'autorizzazione di sicurezza valida, l'autorità di sicurezza della Commissione le comunica all'autorità di sicurezza nazionale competente in conformità alle pertinenti disposizioni legislative e regolamentari.
10. Se un'autorità di sicurezza nazionale (NSA) comunica all'autorità di sicurezza della Commissione il ritiro della garanzia fornita conformemente al paragrafo 5, lettera a), per una persona in possesso di un'autorizzazione di accesso alle ICUE valida, l'autorità di sicurezza della Commissione può chiederle i chiarimenti che è in grado di fornire conformemente alle sue disposizioni legislative e regolamentari nazionali. Se le informazioni negative sono confermate dall'autorità di sicurezza nazionale, l'autorizzazione di sicurezza è ritirata e la persona in questione è esclusa dall'accesso alle ICUE e da posti nei quali tale accesso sia possibile o nei quali la persona potrebbe mettere a repentaglio la sicurezza.
11. La decisione di ritirare o sospendere un'autorizzazione di accesso alle ICUE ad una persona che rientra nel campo di applicazione della presente decisione e, se opportuno, i relativi motivi devono essere comunicati alla persona interessata la quale può chiedere di essere ascoltata dall'autorità di sicurezza della Commissione. Le informazioni fornite dall'NSA devono essere soggette alle pertinenti disposizioni legislative e regolamentari vigenti nello Stato membro in questione. Le decisioni adottate dall'autorità di sicurezza della Commissione in questo ambito sono soggette a ricorso conformemente allo statuto.
12. I servizi della Commissione si assicurano che gli esperti nazionali distaccati per un posto che richiede l'accesso alle ICUE presentino, prima di assumere l'incarico, un nulla osta di sicurezza del personale o un certificato di nulla osta di sicurezza del personale, conformemente alle disposizioni legislative e regolamentari nazionali, all'autorità di sicurezza della Commissione che, su tale base, rilascia un'autorizzazione di sicurezza per accedere alle ICUE fino al livello equivalente a quello indicato nel nulla osta di sicurezza nazionale, con una validità massima equivalente alla durata del loro incarico.
Accesso alle ICUE per le persone debitamente autorizzate sulla base delle loro funzioni 13. I membri della Commissione che hanno accesso alle ICUE in virtù delle proprie funzioni sulla base del trattato devono essere messi al corrente degli obblighi di sicurezza in un'ottica di tutela delle ICUE. Registrazioni dei nulla osta e delle autorizzazioni di sicurezza 14. Le registrazioni dei nulla osta e delle autorizzazioni di sicurezza rilasciati per accedere alle ICUE devono essere conservate dall'autorità di sicurezza della Commissione a norma della presente decisione. In tali registrazioni figurano almeno il livello di ICUE cui può accedere la persona in questione, la data di concessione del nulla osta di sicurezza e il periodo di validità. 15. L'autorità di sicurezza della Commissione può rilasciare un PSCC in cui figurano il livello di ICUE cui può accedere la persona in questione (CONFIDENTIEL UE/EU CONFIDENTIAL o superiore), la data di validità della relativa autorizzazione di accesso alle ICUE e la data di scadenza del certificato stesso. Rinnovo delle autorizzazioni di sicurezza 16. Dopo la concessione iniziale delle autorizzazioni di sicurezza e purché la persona abbia prestato servizio ininterrottamente presso la Commissione europea o altre istituzioni, organi o agenzie dell'Unione e continui ad avere bisogno di accedere alle ICUE, l'autorizzazione di sicurezza per accedere alle ICUE è riesaminata ai fini del rinnovo, di norma, ogni cinque anni dalla data di comunicazione dell'esito dell'ultima indagine di sicurezza su cui si basava. 17. L'autorità di sicurezza della Commissione può estendere la validità dell'autorizzazione di sicurezza esistente fino a dodici mesi, se non sono state ricevute informazioni negative dall'autorità di sicurezza nazionale o da un'altra autorità nazionale competente entro due mesi dalla data di trasmissione della richiesta di rinnovo e del corrispondente questionario per il nulla osta di sicurezza. Se al termine dei dodici mesi la pertinente autorità di sicurezza nazionale o un'altra autorità nazionale competente non ha comunicato il proprio parere all'autorità di sicurezza della Commissione, alla persona in questione devono essere assegnate mansioni che non necessitano di un'autorizzazione di sicurezza.
Art. 12 Sessioni informative sull'autorizzazione di sicurezza
1. Dopo aver partecipato alle sessioni informative sull'autorizzazione di sicurezza organizzate dall'autorità di sicurezza della Commissione, tutte le persone che hanno ottenuto un'autorizzazione di sicurezza riconoscono per iscritto di aver compreso gli obblighi di protezione delle ICUE e le conseguenze che possono verificarsi se le ICUE risultano compromesse. Una registrazione di tale attestazione scritta è conservata dall'autorità di sicurezza della Commissione.
2. Tutte le persone autorizzate ad avere accesso alle ICUE o tenute a trattarle, sono sensibilizzate all'inizio e istruite periodicamente riguardo alle minacce per la sicurezza e devono comunicare immediatamente all'autorità di sicurezza della Commissione qualsiasi iniziativa o attività che ritengano sospetta o insolita.
3. Tutte le persone che cessano l'incarico per il quale era richiesto l'accesso alle ICUE sono informate dell'obbligo di continuare a proteggere le ICUE e, in caso, riconoscono per iscritto quest'obbligo.
Art. 13 Autorizzazioni di sicurezza temporanee
1. In circostanze eccezionali, laddove sia debitamente giustificato nell'interesse del servizio e in attesa dell'esito dell'intera indagine di sicurezza, l'autorità di sicurezza della Commissione, dopo aver consultato l'autorità di sicurezza nazionale dello Stato membro di cui è cittadina la persona interessata e con riserva dell'esito dei controlli preliminari per verificare l'inesistenza di pertinenti informazioni negative note, può rilasciare un'autorizzazione temporanea per accedere alle ICUE per una funzione specifica, fatte salve le disposizioni relative al rinnovo dei nulla osta di sicurezza. Tali autorizzazioni temporanee per accedere alle ICUE sono valide per sei mesi al massimo e non danno accesso alle informazioni classificate di livello TRÈS SECRET UE/EU TOP SECRET.
2. Dopo essere state istruite in conformità all'articolo 12, paragrafo 1, tutte le persone alle quali è stata concessa un'autorizzazione temporanea riconoscono per iscritto di aver compreso gli obblighi di protezione delle ICUE e le eventuali conseguenze se le ICUE risultano compromesse. Una registrazione di tale attestazione scritta è conservata dall'autorità di sicurezza della Commissione.
Art. 14 Partecipazione alle riunioni classificate organizzate dalla Commissione
1. I servizi della Commissione responsabili dell'organizzazione di riunioni in cui sono discusse informazioni classificate di livello CONFIDENTIEL UE/EU CONFIDENTIAL o superiore, attraverso il proprio responsabile locale della sicurezza o l'organizzatore della riunione, comunicano con largo anticipo all'autorità di sicurezza della Commissione le date, gli orari, le sedi e i partecipanti di tali riunioni.
2. Fatte salve le disposizioni dell'articolo 11, paragrafo 13, le persone che devono partecipare alle riunioni organizzate dalla Commissione in cui sono discusse informazioni classificate di livello CONFIDENTIEL UE/EU CONFIDENTIAL o superiore, possono farlo solo se il loro nulla osta di sicurezza o lo status del nulla osta di sicurezza è confermato. L'accesso alle riunioni classificate è negato alle persone per cui l'autorità di sicurezza della Commissione non dispone di un certificato di nulla osta di sicurezza del personale o di un'altra prova del nulla osta di sicurezza, come pure ai partecipanti della Commissione che non sono in possesso di un'autorizzazione di sicurezza.
3. Prima di organizzare una riunione classificata, l'organizzatore della riunione responsabile o il responsabile locale della sicurezza del servizio della Commissione che organizza la riunione chiede ai partecipanti esterni di presentare all'autorità di sicurezza della Commissione un certificato di nulla osta di sicurezza del personale o un'altra prova di nulla osta di sicurezza. L'autorità di sicurezza della Commissione informa il responsabile locale della sicurezza o l'organizzatore della riunione in merito al PSCC o a un'altra prova di PSC ricevuti. Se del caso, può essere usato un elenco di nomi consolidato che comprovi il nulla osta di sicurezza.
4. Qualora l'autorità di sicurezza della Commissione sia informata dalle autorità competenti che il PSC di una persona i cui compiti richiedano la partecipazione alle riunioni organizzate dalla Commissione è stato ritirato, l'autorità di sicurezza della Commissione ne informa il responsabile locale della sicurezza del servizio della Commissione che organizza la riunione.
Art. 15 Accesso potenziale alle ICUE
Corrieri, guardie e scorte dispongono dell'autorizzazione di sicurezza di livello adatto o sono soggetti alle opportune indagini conformemente alle disposizioni legislative e regolamentari nazionali, sono informati riguardo alle procedure di sicurezza in materia di protezione delle ICUE e istruiti riguardo agli obblighi di protezione delle informazioni loro affidate.
Capo 3. Sicurezza materiale per la protezione di informazioni classificate
Art. 16 Principi di base
1. Le misure di sicurezza materiale sono intese a impedire a intrusi l'ingresso fraudolento o con la forza, a scoraggiare, ostacolare e scoprire azioni non autorizzate e a consentire la segregazione del personale per quanto riguarda il loro accesso alle ICUE in base al principio della necessità di conoscere. Tali misure devono essere determinate in base a una procedura di gestione del rischio in conformità alla presente decisione e alle sue norme di attuazione.
2. In particolare, le misure di sicurezza materiale sono intese ad evitare l'accesso non autorizzato alle ICUE:
a) assicurando che le ICUE siano trattate e conservate in modo adeguato;
b) consentendo la segregazione del personale per quanto riguarda l'accesso alle ICUE in base alla loro necessità di conoscere e, in caso, alle loro autorizzazioni di sicurezza;
c) scoraggiando, ostacolando e scoprendo azioni non autorizzate; e
d) impedendo o ritardando l'ingresso fraudolento o con la forza di intrusi.
3. Le misure di sicurezza materiale sono attuate per tutti i locali, gli edifici, gli uffici, le stanze o altre zone in cui le ICUE sono trattate o conservate, comprese le zone che contengono i sistemi di comunicazione e informazione definiti al capo 5.
4. Le zone in cui sono conservate ICUE classificate di livello CONFIDENTIEL UE/EU CONFIDENTIAL o superiore sono costituite come zone protette conformemente al presente capo e approvate dall'autorità di accreditamento in materia di sicurezza della Commissione.
5. Per proteggere le ICUE di livello CONFIDENTIEL UE/EU CONFIDENTIAL o superiore si usano solo attrezzature o dispositivi approvati dall'autorità di sicurezza della Commissione.
Art. 17 Requisiti e misure di sicurezza materiale
1. Le misure di sicurezza materiale sono selezionate in base a una valutazione della minaccia effettuata dall'autorità di sicurezza della Commissione, ove opportuno consultando altri servizi della Commissione, altre istituzioni, agenzie od organi dell'Unione e/o le autorità competenti degli Stati membri. La Commissione applica una procedura di gestione del rischio per proteggere le ICUE nei propri locali al fine di garantire un livello di protezione materiale corrispondente alla valutazione del rischio. La procedura di gestione del rischio tiene conto di tutti gli elementi pertinenti, in particolare:
a) del livello di classifica delle ICUE;
b) della forma e del volume delle ICUE, tenendo conto che considerevoli quantitativi o compilazioni di ICUE possono richiedere l'applicazione di misure di protezione più rigorose;
c) dell'ambiente circostante e della struttura degli edifici o delle zone in cui sono conservate ICUE; e
d) della valutazione della minaccia rappresentata da servizi di intelligence che prendono di mira l'Unione, le sue istituzioni, organi o agenzie, o gli Stati membri e da atti di sabotaggio, terrorismo e altri atti sovversivi o criminali.
2. L'autorità di sicurezza della Commissione, nell'applicare il concetto di difesa in profondità, stabilisce l'idonea combinazione di misure di sicurezza materiale da attuare. A tale scopo, l'autorità di sicurezza della Commissione sviluppa standard, norme e criteri minimi stabiliti nelle norme di attuazione.
3. L'autorità di sicurezza della Commissione è autorizzata a effettuare ispezioni all'entrata e all'uscita come deterrente all'introduzione non autorizzata di materiale o alla sottrazione non autorizzata di ICUE da locali o edifici.
4. Quando le ICUE sono a rischio di sguardi indiscreti, anche accidentalmente, i servizi della Commissione coinvolti adottano le misure appropriate, come stabilito dall'autorità di sicurezza della Commissione, per combattere questo rischio.
5. Per le nuove strutture sono definiti requisiti di sicurezza materiale e relative specifiche funzionali di concerto con l'autorità di sicurezza della Commissione nell'ambito della pianificazione e della concezione delle strutture. Per le strutture esistenti, i requisiti di sicurezza materiale si applicano conformemente agli standard, alle norme e ai criteri minimi stabiliti nelle norme di attuazione.
Art. 18 Attrezzature per la protezione materiale delle ICUE
1. Per la protezione materiale delle ICUE si stabiliscono due tipi di zona oggetto di protezione materiale:
a) zone amministrative; e
b) zone protette (comprese le zone protette tecnicamente).
2. L'autorità di accreditamento in materia di sicurezza della Commissione stabilisce che una zona soddisfa i requisiti per essere designata zona amministrativa, zona protetta o zona protetta tecnicamente.
3. Per le zone amministrative:
a) è stabilito un perimetro chiaramente delimitato che permette l'ispezione delle persone e, se possibile, dei veicoli;
b) l'accesso senza scorta è consentito solo alle persone debitamente autorizzate dall'autorità di sicurezza della Commissione o da un'altra autorità competente; e
c) tutte le altre persone sono scortate in ogni momento o sottoposte a controlli equivalenti.
4. Per le zone protette:
a) è stabilito un perimetro chiaramente delimitato e protetto attraverso cui sono controllati tutti gli ingressi e le uscite per mezzo di un lasciapassare o di un sistema di riconoscimento personale;
b) l'accesso senza scorta è consentito solo alle persone in possesso di un nulla osta di sicurezza ed espressamente autorizzate a entrare nella zona in base alla loro necessità di conoscere;
c) tutte le altre persone sono scortate in ogni momento o sottoposte a controlli equivalenti.
5. Se l'ingresso in una zona protetta costituisce, a tutti i fini pratici, un accesso diretto alle informazioni classificate ivi conservate, si applicano i seguenti requisiti supplementari:
a) il livello più elevato di classifica di sicurezza delle informazioni normalmente conservate nella zona è chiaramente indicato;
b) tutti i visitatori richiedono un'autorizzazione specifica ad entrare nella zona, sono scortati in ogni momento e sono in possesso del nulla osta di sicurezza adatto, a meno che non siano presi provvedimenti intesi a garantire che non sia possibile alcun accesso alle ICUE.
6. Le zone protette che vengono protette dall'ascolto indiscreto sono designate zone protette tecnicamente. Si applicano i seguenti requisiti supplementari:
a) tali zone sono dotate di sistemi di rilevamento delle intrusioni (IDS), chiuse a chiave se non occupate e sorvegliate se occupate. Le chiavi sono gestite conformemente all'articolo 20;
b) tutte le persone o tutto il materiale che accedono a tali zone sono soggetti a controllo;
c) tali zone sono regolarmente soggette a ispezioni materiali e/o tecniche da parte dell'autorità di sicurezza della Commissione. Dette ispezioni sono inoltre effettuate dopo qualsiasi ingresso non autorizzato, effettivo o sospettato; e
d) tali zone sono prive di linee di comunicazione, telefoni o altri dispositivi di comunicazione ed attrezzature elettriche o elettroniche non autorizzati.
7. Nonostante il paragrafo 6, lettera d), prima di essere usati in zone in cui si svolgono riunioni o attività che implicano informazioni classificate di livello SECRET UE/EU SECRET o superiore, e laddove la minaccia alle ICUE sia valutata alta, tutti i dispositivi di comunicazione e tutte le attrezzature elettriche o elettroniche sono preventivamente esaminati dall'autorità di sicurezza della Commissione al fine di garantire che nessuna informazione intelligibile sia trasmessa inavvertitamente o illegalmente da tali attrezzature all'esterno del perimetro della zona protetta.
8. Ove opportuno, le zone protette non occupate da personale in servizio 24 ore su 24 sono ispezionate al termine del normale orario di lavoro e a intervalli casuali al di fuori del normale orario di lavoro, tranne nel caso in cui vi sia installato un IDS.
9. Le zone protette e le zone protette tecnicamente possono essere istituite in via temporanea in una zona amministrativa per una riunione classificata o per altri motivi analoghi.
10. Il responsabile locale della sicurezza del servizio della Commissione interessato elabora procedure operative di sicurezza per tutte le aree protette di cui è responsabile che stabiliscono, conformemente alle disposizioni della presente decisione e delle sue norme di attuazione:
a) il livello delle ICUE che possono essere trattate e conservate nella zona;
b) le misure di sorveglianza e di protezione che devono essere applicate;
c) le persone autorizzate ad accedere senza scorta alla zona in virtù della loro necessità di conoscere e della loro autorizzazione di sicurezza;
d) ove opportuno, le procedure relative alle scorte o alla protezione delle ICUE quando si autorizza l'accesso di altre persone alla zona;
e) ogni altra misura e procedura pertinente.
11. Nelle zone protette sono costruite camere blindate. Le pareti, il pavimento, il soffitto, le finestre e le porte provviste di serratura sono approvati dall'autorità di sicurezza della Commissione e offrono una protezione equivalente a quella di un contenitore di sicurezza approvato per la conservazione di ICUE dello stesso livello di classifica.
Art. 19 Misure di protezione materiale per il trattamento e la conservazione delle ICUE
1. Le ICUE classificate di livello RESTREINT UE/EU RESTRICTED possono essere trattate:
a) in una zona protetta;
b) in una zona amministrativa purché le ICUE siano protette dall'accesso di persone non autorizzate;
c) all'esterno di una zona protetta o di una zona amministrativa purché il detentore trasporti le ICUE conformemente all'articolo 31, e si sia impegnato ad osservare le misure compensative stabilite nelle norme di attuazione per garantire che le ICUE siano protette dall'accesso di persone non autorizzate.
2. Le ICUE classificate di livello RESTREINT UE/EU RESTRICTED sono conservate in idonei mobili da ufficio chiusi a chiave, in una zona amministrativa o in una zona protetta. Esse possono essere temporaneamente conservate all'esterno di una zona protetta o di una zona amministrativa purché il detentore si sia impegnato ad osservare le misure compensative stabilite nelle norme di attuazione.
3. Le ICUE classificate di livello CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET possono essere trattate:
a) in una zona protetta;
b) in una zona amministrativa purché le ICUE siano protette dall'accesso di persone non autorizzate; o
c) all'esterno di una zona protetta o di una zona amministrativa purché il detentore:
i) si sia impegnato ad osservare le misure compensative stabilite nelle norme di attuazione per garantire che le ICUE siano protette dall'accesso di persone non autorizzate;
ii) tenga le ICUE sempre sotto il proprio controllo; e
iii) in caso di documenti cartacei, ne abbia informato il competente ufficio di registrazione.
4. Le ICUE classificate di livello CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET sono conservate in una zona protetta in un contenitore di sicurezza o in una camera blindata.
5. Le ICUE classificate di livello TRÈS SECRET UE/EU TOP SECRET sono trattate in una zona protetta, istituita e mantenuta dall'autorità di sicurezza della Commissione, e accreditate a tale livello dall'autorità di accreditamento in materia di sicurezza della Commissione.
6. Le ICUE classificate di livello TRÈS SECRET UE/EU TOP SECRET sono conservate in una zona protetta, accreditate a tale livello dall'autorità di accreditamento in materia di sicurezza della Commissione, secondo uno delle modalità seguenti:
a) in un contenitore di sicurezza conformemente alle disposizioni dell'articolo 18, con almeno uno dei seguenti controlli supplementari:
(1) protezione continua o verifica da parte di personale con nulla osta di sicurezza o personale di servizio;
(2) un IDS approvato, in combinazione con personale di sicurezza incaricato degli interventi; o
b) in una camera blindata dotata di IDS, in combinazione con personale di sicurezza incaricato degli interventi.