Decisione (UE, Euratom) 2015/444 della Commissione del 13 marzo 2015 sulle norme di sicurezza per proteggere le informazioni classificate UE

1. Le misure di sicurezza materiale sono intese a impedire a intrusi l'ingresso fraudolento o con la forza, a scoraggiare, ostacolare e scoprire azioni non autorizzate e a consentire la segregazione del personale per quanto riguarda il loro accesso alle ICUE in base al principio della necessità di conoscere. Tali misure devono essere determinate in base a una procedura di gestione del rischio in conformità alla presente decisione e alle sue norme di attuazione.

2. In particolare, le misure di sicurezza materiale sono intese ad evitare l'accesso non autorizzato alle ICUE:

1. a) assicurando che le ICUE siano trattate e conservate in modo adeguato;

2. b) consentendo la segregazione del personale per quanto riguarda l'accesso alle ICUE in base alla loro necessità di conoscere e, in caso, alle loro autorizzazioni di sicurezza;

3. c) scoraggiando, ostacolando e scoprendo azioni non autorizzate; e

4. d) impedendo o ritardando l'ingresso fraudolento o con la forza di intrusi.

3. Le misure di sicurezza materiale sono attuate per tutti i locali, gli edifici, gli uffici, le stanze o altre zone in cui le ICUE sono trattate o conservate, comprese le zone che contengono i sistemi di comunicazione e informazione definiti al capo 5.

4. Le zone in cui sono conservate ICUE classificate di livello CONFIDENTIEL UE/EU CONFIDENTIAL o superiore sono costituite come zone protette conformemente al presente capo e approvate dall'autorità di accreditamento in materia di sicurezza della Commissione.

5. Per proteggere le ICUE di livello CONFIDENTIEL UE/EU CONFIDENTIAL o superiore si usano solo attrezzature o dispositivi approvati dall'autorità di sicurezza della Commissione.

1. Le misure di sicurezza materiale sono selezionate in base a una valutazione della minaccia effettuata dall'autorità di sicurezza della Commissione, ove opportuno consultando altri servizi della Commissione, altre istituzioni, agenzie od organi dell'Unione e/o le autorità competenti degli Stati membri. La Commissione applica una procedura di gestione del rischio per proteggere le ICUE nei propri locali al fine di garantire un livello di protezione materiale corrispondente alla valutazione del rischio. La procedura di gestione del rischio tiene conto di tutti gli elementi pertinenti, in particolare:

1. a) del livello di classifica delle ICUE;

2. b) della forma e del volume delle ICUE, tenendo conto che considerevoli quantitativi o compilazioni di ICUE possono richiedere l'applicazione di misure di protezione più rigorose;

3. c) dell'ambiente circostante e della struttura degli edifici o delle zone in cui sono conservate ICUE; e

4. d) della valutazione della minaccia rappresentata da servizi di intelligence che prendono di mira l'Unione, le sue istituzioni, organi o agenzie, o gli Stati membri e da atti di sabotaggio, terrorismo e altri atti sovversivi o criminali.

2. L'autorità di sicurezza della Commissione, nell'applicare il concetto di difesa in profondità, stabilisce l'idonea combinazione di misure di sicurezza materiale da attuare. A tale scopo, l'autorità di sicurezza della Commissione sviluppa standard, norme e criteri minimi stabiliti nelle norme di attuazione.

3. L'autorità di sicurezza della Commissione è autorizzata a effettuare ispezioni all'entrata e all'uscita come deterrente all'introduzione non autorizzata di materiale o alla sottrazione non autorizzata di ICUE da locali o edifici.

4. Quando le ICUE sono a rischio di sguardi indiscreti, anche accidentalmente, i servizi della Commissione coinvolti adottano le misure appropriate, come stabilito dall'autorità di sicurezza della Commissione, per combattere questo rischio.

5. Per le nuove strutture sono definiti requisiti di sicurezza materiale e relative specifiche funzionali di concerto con l'autorità di sicurezza della Commissione nell'ambito della pianificazione e della concezione delle strutture. Per le strutture esistenti, i requisiti di sicurezza materiale si applicano conformemente agli standard, alle norme e ai criteri minimi stabiliti nelle norme di attuazione.

1. Per la protezione materiale delle ICUE si stabiliscono due tipi di zona oggetto di protezione materiale:

1. a) zone amministrative; e

2. b) zone protette (comprese le zone protette tecnicamente).

2. L'autorità di accreditamento in materia di sicurezza della Commissione stabilisce che una zona soddisfa i requisiti per essere designata zona amministrativa, zona protetta o zona protetta tecnicamente.

3. Per le zone amministrative:

1. a) è stabilito un perimetro chiaramente delimitato che permette l'ispezione delle persone e, se possibile, dei veicoli;

2. b) l'accesso senza scorta è consentito solo alle persone debitamente autorizzate dall'autorità di sicurezza della Commissione o da un'altra autorità competente; e

3. c) tutte le altre persone sono scortate in ogni momento o sottoposte a controlli equivalenti.

4. Per le zone protette:

1. a) è stabilito un perimetro chiaramente delimitato e protetto attraverso cui sono controllati tutti gli ingressi e le uscite per mezzo di un lasciapassare o di un sistema di riconoscimento personale;

2. b) l'accesso senza scorta è consentito solo alle persone in possesso di un nulla osta di sicurezza ed espressamente autorizzate a entrare nella zona in base alla loro necessità di conoscere;

3. c) tutte le altre persone sono scortate in ogni momento o sottoposte a controlli equivalenti.

5. Se l'ingresso in una zona protetta costituisce, a tutti i fini pratici, un accesso diretto alle informazioni classificate ivi conservate, si applicano i seguenti requisiti supplementari:

1. a) il livello più elevato di classifica di sicurezza delle informazioni normalmente conservate nella zona è chiaramente indicato;

2. b) tutti i visitatori richiedono un'autorizzazione specifica ad entrare nella zona, sono scortati in ogni momento e sono in possesso del nulla osta di sicurezza adatto, a meno che non siano presi provvedimenti intesi a garantire che non sia possibile alcun accesso alle ICUE.

6. Le zone protette che vengono protette dall'ascolto indiscreto sono designate zone protette tecnicamente. Si applicano i seguenti requisiti supplementari:

1. a) tali zone sono dotate di sistemi di rilevamento delle intrusioni (IDS), chiuse a chiave se non occupate e sorvegliate se occupate. Le chiavi sono gestite conformemente all'articolo 20;

2. b) tutte le persone o tutto il materiale che accedono a tali zone sono soggetti a controllo;

3. c) tali zone sono regolarmente soggette a ispezioni materiali e/o tecniche da parte dell'autorità di sicurezza della Commissione. Dette ispezioni sono inoltre effettuate dopo qualsiasi ingresso non autorizzato, effettivo o sospettato; e

4. d) tali zone sono prive di linee di comunicazione, telefoni o altri dispositivi di comunicazione ed attrezzature elettriche o elettroniche non autorizzati.

7. Nonostante il paragrafo 6, lettera d), prima di essere usati in zone in cui si svolgono riunioni o attività che implicano informazioni classificate di livello SECRET UE/EU SECRET o superiore, e laddove la minaccia alle ICUE sia valutata alta, tutti i dispositivi di comunicazione e tutte le attrezzature elettriche o elettroniche sono preventivamente esaminati dall'autorità di sicurezza della Commissione al fine di garantire che nessuna informazione intelligibile sia trasmessa inavvertitamente o illegalmente da tali attrezzature all'esterno del perimetro della zona protetta.

8. Ove opportuno, le zone protette non occupate da personale in servizio 24 ore su 24 sono ispezionate al termine del normale orario di lavoro e a intervalli casuali al di fuori del normale orario di lavoro, tranne nel caso in cui vi sia installato un IDS.

9. Le zone protette e le zone protette tecnicamente possono essere istituite in via temporanea in una zona amministrativa per una riunione classificata o per altri motivi analoghi.

10. Il responsabile locale della sicurezza del servizio della Commissione interessato elabora procedure operative di sicurezza per tutte le aree protette di cui è responsabile che stabiliscono, conformemente alle disposizioni della presente decisione e delle sue norme di attuazione:

1. a) il livello delle ICUE che possono essere trattate e conservate nella zona;

2. b) le misure di sorveglianza e di protezione che devono essere applicate;

3. c) le persone autorizzate ad accedere senza scorta alla zona in virtù della loro necessità di conoscere e della loro autorizzazione di sicurezza;

4. d) ove opportuno, le procedure relative alle scorte o alla protezione delle ICUE quando si autorizza l'accesso di altre persone alla zona;

5. e) ogni altra misura e procedura pertinente.

11. Nelle zone protette sono costruite camere blindate. Le pareti, il pavimento, il soffitto, le finestre e le porte provviste di serratura sono approvati dall'autorità di sicurezza della Commissione e offrono una protezione equivalente a quella di un contenitore di sicurezza approvato per la conservazione di ICUE dello stesso livello di classifica.

1. Le ICUE classificate di livello RESTREINT UE/EU RESTRICTED possono essere trattate:

1. a) in una zona protetta;

2. b) in una zona amministrativa purché le ICUE siano protette dall'accesso di persone non autorizzate;

3. c) all'esterno di una zona protetta o di una zona amministrativa purché il detentore trasporti le ICUE conformemente all'articolo 31, e si sia impegnato ad osservare le misure compensative stabilite nelle norme di attuazione per garantire che le ICUE siano protette dall'accesso di persone non autorizzate.

2. Le ICUE classificate di livello RESTREINT UE/EU RESTRICTED sono conservate in idonei mobili da ufficio chiusi a chiave, in una zona amministrativa o in una zona protetta. Esse possono essere temporaneamente conservate all'esterno di una zona protetta o di una zona amministrativa purché il detentore si sia impegnato ad osservare le misure compensative stabilite nelle norme di attuazione.

3. Le ICUE classificate di livello CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET possono essere trattate:

1. a) in una zona protetta;

2. b) in una zona amministrativa purché le ICUE siano protette dall'accesso di persone non autorizzate; o

3. c) all'esterno di una zona protetta o di una zona amministrativa purché il detentore:

   1. i) si sia impegnato ad osservare le misure compensative stabilite nelle norme di attuazione per garantire che le ICUE siano protette dall'accesso di persone non autorizzate;

   2. ii) tenga le ICUE sempre sotto il proprio controllo; e

   3. iii) in caso di documenti cartacei, ne abbia informato il competente ufficio di registrazione.

4. Le ICUE classificate di livello CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET sono conservate in una zona protetta in un contenitore di sicurezza o in una camera blindata.

5. Le ICUE classificate di livello TRÈS SECRET UE/EU TOP SECRET sono trattate in una zona protetta, istituita e mantenuta dall'autorità di sicurezza della Commissione, e accreditate a tale livello dall'autorità di accreditamento in materia di sicurezza della Commissione.

6. Le ICUE classificate di livello TRÈS SECRET UE/EU TOP SECRET sono conservate in una zona protetta, accreditate a tale livello dall'autorità di accreditamento in materia di sicurezza della Commissione, secondo uno delle modalità seguenti:

1. a) in un contenitore di sicurezza conformemente alle disposizioni dell'articolo 18, con almeno uno dei seguenti controlli supplementari:

   1. (1) protezione continua o verifica da parte di personale con nulla osta di sicurezza o personale di servizio;

   2. (2) un IDS approvato, in combinazione con personale di sicurezza incaricato degli interventi; o

2. b) in una camera blindata dotata di IDS, in combinazione con personale di sicurezza incaricato degli interventi.

1. Le procedure di gestione delle chiavi e delle combinazioni per gli uffici, le stanze, le camere blindate e i contenitori di sicurezza devono essere stabilite nelle norme di attuazione in base all'articolo 60. Tali procedure hanno lo scopo di proteggere dall'accesso non autorizzato.

2. Le combinazioni sono conosciute a memoria dal minor numero possibile di persone che hanno necessità di conoscerle. Le combinazioni dei contenitori di sicurezza e delle camere blindate in cui sono conservate ICUE sono modificate:

1. a) al ricevimento di ogni nuovo contenitore;

2. b) in caso di sostituzione del personale che conosce la combinazione;

3. c) in caso di effettiva o sospetta compromissione;

4. d) se una serratura è stata oggetto di manutenzione o riparazione; e

5. e) almeno ogni dodici mesi.

1. Tutti i documenti ICUE devono essere gestiti conformemente alla politica di gestione dei documenti della Commissione e di conseguenza registrati, archiviati, conservati e infine eliminati, sottoposti a campionamento o trasferiti agli archivi storici in base all'elenco comune di conservazione a livello della Commissione per i fascicoli dell'Unione europea.

2. Le informazioni classificate di livello CONFIDENTIEL UE/EU CONFIDENTIAL o superiore sono registrate a fini di sicurezza prima della diffusione e all'atto della ricezione. Le informazioni classificate di livello TRÈS SECRET UE/EU TOP SECRET sono registrate in uffici di registrazione dedicati.

3. Alla Commissione è istituito un sistema di registrazione dell'ICUE conformemente alle disposizioni dell'articolo 27.

4. I servizi e i locali in cui sono trattate o conservate ICUE sono sottoposti a ispezioni periodiche da parte dell'autorità di sicurezza della Commissione.

5. Le ICUE sono veicolate tra i servizi e i locali al di fuori delle zone oggetto di protezione materiale secondo le modalità seguenti:

1. a) di norma, le ICUE sono trasmesse con mezzi elettronici protetti mediante prodotti crittografici approvati conformemente al capo 5;

2. b) qualora non siano usati i mezzi di cui alla lettera a), le ICUE sono trasportate:

   1. i) su supporti elettronici (ad esempio chiave USB, CD, disco rigido) protetti mediante prodotti crittografici approvati conformemente al capo 5; o

   2. ii) in tutti gli altri casi, come stabilito nelle norme di attuazione.

1. Le informazioni sono classificate quando devono essere protette con riferimento alla loro riservatezza conformemente all'articolo 3, paragrafo 1.

2. L'originatore delle ICUE è incaricato di determinare il livello di classifica di sicurezza, conformemente alle norme di attuazione, alle norme e agli orientamenti in materia di classifica, e della diffusione iniziale delle informazioni.

3. Il livello di classifica dell'ICUE è stabilito conformemente all'articolo 3, paragrafo 2, e alle pertinenti norme di attuazione.

4. La classifica di sicurezza è chiaramente e correttamente indicata, indipendentemente dal fatto che le ICUE siano in forma cartacea, orale, elettronica o in altra forma.

5. Le singole parti di un determinato documento (ad esempio pagine, paragrafi, sezioni, annessi, appendici, allegati e materiale accluso) possono richiedere classifiche differenti e sono contraddistinte di conseguenza anche nel caso in cui siano conservate in forma elettronica.

6. Il livello generale di classifica di un documento o file è almeno quello del suo componente con livello di classifica più elevato. Quando si riprendono informazioni da varie fonti, il prodotto finale è riesaminato per determinarne il livello generale di classifica di sicurezza, in quanto può richiedere una classifica più elevata di quella dei suoi componenti.

7. Per quanto possibile, i documenti che contengono parti con livelli di classifica diversi sono impostati in modo che le parti con un livello di classifica diverso possano essere facilmente individuate e, se necessario, separate.

8. La classifica di una lettera o di una nota che comprende materiale accluso corrisponde a quello dell'elemento accluso con livello di classifica più elevato. L'originatore indica chiaramente il livello di classifica della lettera o della nota quando è separata dal materiale accluso mediante un contrassegno adeguato, ad esempio:

1. Contrassegni di classifica abbreviati standard possono essere usati per indicare il livello di classifica di singoli paragrafi di un testo. Le abbreviazioni non sostituiscono i contrassegni di classifica per esteso.

2. Le seguenti abbreviazioni standard possono essere usate nei documenti classificati UE per indicare il livello di classifica di sezioni o parti del testo di dimensioni inferiori a una pagina:

1. Quando si produce un documento classificato UE:

1. a) ciascuna pagina è contrassegnata chiaramente con il livello di classifica;

2. b) ciascuna pagina è numerata;

3. c) il documento reca un numero di riferimento e un oggetto che non è in sé un'informazione classificata, a meno che non sia contrassegnato come tale;

4. d) il documento è datato;

5. e) i documenti classificati di livello SECRET UE/EU SECRET o superiore, se devono essere distribuiti in più copie, recano un numero di copia sul ciascuna pagina.

2. Qualora non sia possibile applicare il paragrafo 1 alle ICUE, sono adottate altre misure appropriate conformemente alle norme di attuazione.

1. Al momento della creazione delle ICUE l'originatore indica, laddove possibile, se possono essere declassate o declassificate ad una certa data o in seguito ad un dato evento.

2. I servizi della Commissione riesaminano periodicamente le ICUE di cui sono originatori per accertare che il livello di classifica sia ancora applicabile. Le norme di attuazione stabiliscono un sistema per riesaminare almeno ogni cinque anni il livello di classifica delle ICUE registrate delle quali la Commissione è l'originatore. Tale riesame non è necessario se l'originatore ha indicato fin dall'inizio che le informazioni saranno automaticamente declassate o declassificate e se le informazioni sono state contrassegnate di conseguenza.

3. Le informazioni classificate di livello RESTREINT UE/EU RESTRICTED di cui la Commissione è l'originatore saranno considerate automaticamente declassificate dopo trent'anni, conformemente al regolamento (CEE, Euratom) n. 354/83 modificato dal regolamento (CE, Euratom) n. 1700/2003 del Consiglio¹⁰.