diritto.io

Decisione (UE, Euratom) 2015/444 della Commissione del 13 marzo 2015 sulle norme di sicurezza per proteggere le informazioni classificate UE

Testo vigente

Art. 24 Contrassegni di classifica abbreviati

1. Contrassegni di classifica abbreviati standard possono essere usati per indicare il livello di classifica di singoli paragrafi di un testo. Le abbreviazioni non sostituiscono i contrassegni di classifica per esteso.

2. Le seguenti abbreviazioni standard possono essere usate nei documenti classificati UE per indicare il livello di classifica di sezioni o parti del testo di dimensioni inferiori a una pagina:

TRES SECRET UE/EU TOP SECRET TS-UE/EU-TS

SECRET UE/EU SECRET S-UE/EU-S

CONFIDENTIEL UE/EU CONFIDENTIAL C-UE/EU-C

RESTREINT UE/EU RESTRICTED R-UE/EU-R

Art. 25 Creazione di ICUE

1. Quando si produce un documento classificato UE:

  1. a) ciascuna pagina è contrassegnata chiaramente con il livello di classifica;

  2. b) ciascuna pagina è numerata;

  3. c) il documento reca un numero di riferimento e un oggetto che non è in sé un'informazione classificata, a meno che non sia contrassegnato come tale;

  4. d) il documento è datato;

  5. e) i documenti classificati di livello SECRET UE/EU SECRET o superiore, se devono essere distribuiti in più copie, recano un numero di copia sul ciascuna pagina.

2. Qualora non sia possibile applicare il paragrafo 1 alle ICUE, sono adottate altre misure appropriate conformemente alle norme di attuazione.

Art. 26 Declassamento e declassificazione delle ICUE

1. Al momento della creazione delle ICUE l'originatore indica, laddove possibile, se possono essere declassate o declassificate ad una certa data o in seguito ad un dato evento.

2. I servizi della Commissione riesaminano periodicamente le ICUE di cui sono originatori per accertare che il livello di classifica sia ancora applicabile. Le norme di attuazione stabiliscono un sistema per riesaminare almeno ogni cinque anni il livello di classifica delle ICUE registrate delle quali la Commissione è l'originatore. Tale riesame non è necessario se l'originatore ha indicato fin dall'inizio che le informazioni saranno automaticamente declassate o declassificate e se le informazioni sono state contrassegnate di conseguenza.

3. Le informazioni classificate di livello RESTREINT UE/EU RESTRICTED di cui la Commissione è l'originatore saranno considerate automaticamente declassificate dopo trent'anni, conformemente al regolamento (CEE, Euratom) n. 354/83 modificato dal regolamento (CE, Euratom) n. 1700/2003 del Consiglio10.

Art. 27 Sistema di registrazione delle ICUE in Commissione

1. Fatto salvo l'articolo 52, paragrafo 5, in tutti i servizi della Commissione in cui sono trattate o conservate ICUE di livello CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET occorre identificare un ufficio di registrazione locale delle ICUE per assicurarne un trattamento conforme alla presente decisione.

2. L'ufficio di registrazione delle ICUE gestito dal segretariato generale è l'ufficio centrale di registrazione delle ICUE della Commissione. Esso funge da:

ufficio di registrazione locale delle ICUE per il segretariato generale della Commissione,

ufficio di registrazione delle ICUE per gli uffici privati dei membri della Commissione, a meno che essi non dispongano di ufficio locale di registrazione delle ICUE specifico,

ufficio di registrazione delle ICUE per le direzioni generali o i servizi che non dispongono di un ufficio di registrazione locale delle ICUE,

principale punto d'ingresso e uscita per tutti gli scambi di informazioni classificate di livello RESTREINT UE/EU RESTRICTED e superiore fino al livello SECRET UE/EU SECRET tra la Commissione e i propri servizi e gli Stati terzi e le organizzazioni internazionali e, se previsto in base ad accordi specifici, per altre istituzioni, agenzie e organi dell'Unione.

3. Alla Commissione l'autorità di sicurezza della Commissione designa un ufficio di registrazione che funge da autorità centrale ricevente e trasmittente delle informazioni classificate TRÈS SECRET UE/EU TOP SECRET. Per il trattamento di tali informazioni a fini di registrazione possono essere designati, se necessario, uffici dipendenti.

4. Gli uffici dipendenti non possono trasmettere documenti di livello TRÈS SECRET UE/EU TOP SECRET direttamente ad altri uffici dipendenti dello stesso ufficio centrale di registrazione TRÈS SECRET UE/EU TOP SECRET o all'esterno senza l'esplicito accordo di quest'ultimo.

5. Gli uffici di registrazione sono costituiti in zone protette, come stabilito al capo 3, e accreditati dall'autorità di accreditamento in materia di sicurezza della Commissione.

Art. 28 Funzionario responsabile del controllo delle registrazioni

1. Tutti gli uffici di registrazione delle ICUE sono gestiti da un funzionario responsabile del controllo delle registrazioni (RCO).

2. L'RCO deve essere munito di apposito nulla osta di sicurezza.

3. L'RCO è soggetto alla supervisione del responsabile locale della sicurezza del servizio della Commissione per quanto attiene all'applicazione delle disposizioni sul trattamento delle ICUE e al rispetto delle pertinenti misure, norme e orientamenti di sicurezza.

4. Nell'ambito delle proprie responsabilità di gestione dell'ufficio di registrazione delle ICUE cui è stato assegnato, all'RCO saranno assegnate le seguenti responsabilità generali conformemente alla presente decisione e alle norme di attuazione, standard e orientamenti corrispondenti:

gestire le operazioni relative alla registrazione, conservazione, riproduzione, traduzione, trasmissione, spedizione e distruzione o trasferimento al servizio dell'archivio storico delle ICUE,

verificare periodicamente la necessità di mantenere la classificazione delle informazioni,

assumere altre mansioni legate alla protezione delle ICUE stabilite nelle norme di attuazione.

Art. 29 Registrazione di ICUE a fini di sicurezza

1. Ai fini della presente decisione, per registrazione a fini di sicurezza («registrazione») si intende l'applicazione di procedure che registrano il ciclo di vita delle ICUE, compresa la diffusione.

2. Le informazioni o i materiali classificati di livello CONFIDENTIEL UE/EU CONFIDENTIAL e superiore sono registrati in uffici di registrazione dedicati quando entrano o lasciano un'entità organizzativa.

3. Quando l'ICUE è trattata o conservata mediante un sistema di comunicazione e informazione (CIS), le procedure di registrazione possono essere eseguite mediante procedure interne allo stesso CIS.

4. Disposizioni più dettagliate relative alla registrazione delle ICUE a fini di sicurezza figureranno nelle norme di attuazione.

Art. 30 Riproduzione e traduzione di documenti classificati UE

1. I documenti di livello TRÈS SECRET UE/EU TOP SECRET possono essere riprodotti o tradotti solo previo consenso scritto dell'originatore.

2. Se l'originatore di documenti classificati di livello SECRET UE/EU SECRET o inferiore non ha imposto limitazioni alla riproduzione o alla traduzione, detti documenti possono essere riprodotti o tradotti su istruzione del detentore.

3. Le misure di sicurezza applicabili al documento originale si applicano alle copie e alle traduzioni.

Art. 31 Trasporto delle ICUE

1. Le ICUE sono trasportate in modo da proteggerle da divulgazione non autorizzata durante il trasporto.

2. Il trasporto di ICUE è soggetto a misure di protezione che sono:

commisurate al livello di classifica delle ICUE trasportate, e

adattate alle condizioni specifiche di trasporto, in particolare se le ICUE sono trasportate:

all'interno di un edificio della Commissione o di un gruppo autonomo di edifici della Commissione,

tra edifici della Commissione situati nello stesso Stato membro,

all'interno dell'Unione,

dall'Unione al territorio di uno Stato terzo, e

adeguate alla natura e alla forma delle ICUE.

3. Le misure di protezione sono specificate nelle norme di attuazione o, nel caso di progetti e programmi di cui all'articolo 42, sono parte integrante delle pertinenti istruzioni di sicurezza del programma/progetto (PSI).

4. Le norme di attuazione o le PSI comprendono disposizioni commisurate al livello delle ICUE, in merito:

al tipo di trasporto, vale a dire il trasporto a mano, il trasporto tramite valigia diplomatica o corriere militare, il trasporto mediante servizi postali o servizi di corriere commerciale,

al confezionamento delle ICUE,

alle contromisure tecniche per le ICUE trasportate con mezzi elettronici,

ad altre misure procedurali, fisiche o elettroniche,

alle procedure di registrazione,

al ricorso a personale di sicurezza autorizzato.

5. Se le ICUE sono trasportate con mezzi elettronici, e in deroga all'articolo 21, paragrafo 5, le misure di protezione stabilite nelle pertinenti norme di attuazione possono essere integrate da opportune contromisure tecniche prescritte dall'autorità di sicurezza della Commissione per minimizzare il rischio di perdita o di compromissione.

Art. 32 Distruzione di ICUE

1. I documenti classificati UE che non sono più necessari possono essere distrutti, tenendo conto dei regolamenti in materia di archiviazione e delle norme e dei regolamenti della Commissione sulla gestione e l'archiviazione dei documenti, in particolare l'elenco comune di conservazione a livello della Commissione.

2. Le ICUE di livello CONFIDENTIEL UE/EU CONFIDENTIAL e superiore sono distrutte dall'RCO dell'ufficio di registrazione delle ICUE competente su istruzione del detentore o di un'autorità competente. L'RCO aggiorna di conseguenza i repertori e gli altri dati relativi alla registrazione.

3. Per i documenti classificati SECRET UE/EU SECRET o TRÈS SECRET UE/EU TOP SECRET effettua la distruzione in presenza di un testimone che possiede un nulla osta di sicurezza almeno fino al livello di classifica del documento da distruggere.

4. L'ufficiale del registro e il testimone, laddove sia richiesta la presenza di quest'ultimo, firmano un certificato di distruzione che è archiviato presso l'ufficio di registrazione. L'RCO dell'ufficio di registrazione competente conserva i certificati di distruzione dei documenti TRÈS SECRET UE/EU TOP SECRET per un periodo di almeno dieci anni e quelli dei documenti CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET per un periodo di almeno cinque anni.

5. I documenti classificati, compresi quelli di livello RESTREINT UE/EU RESTRICTED, sono distrutti con metodi definiti nelle norme di attuazione e conformi alle pertinenti norme dell'UE o equivalenti.

6. I supporti informatici delle ICUE sono distrutti in conformità alle procedure stabilite nelle norme di attuazione.

Art. 33 Distruzione delle ICUE in casi di emergenza

1. I servizi della Commissione che dispongono di ICUE predispongono piani, in base alle condizioni vigenti in loco, per la protezione del materiale classificato UE in situazioni di crisi, compresa, se necessaria, la distruzione di emergenza e piani di evacuazione. Essi emanano le istruzioni che ritengono necessarie per impedire che le ICUE cadano nelle mani di persone non autorizzate.

2. Le disposizioni per la protezione e/o la distruzione di materiale CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET in situazioni di crisi non compromette in alcun modo la protezione o la distruzione di materiale TRÈS SECRET UE/EU TOP SECRET, ivi compresa l'attrezzatura di cifratura, il cui trattamento è prioritario rispetto a tutte le altre funzioni.

3. In caso di emergenza, se c'è un rischio imminente di divulgazione non autorizzata, le ICUE sono distrutte dal detentore in modo tale da non poter essere ricostruite né totalmente né parzialmente. L'originatore e l'ufficio di registrazione d'origine sono informati della distruzione d'emergenza delle ICUE registrate.

4. Disposizioni più dettagliate relative alla distruzione delle ICUE figureranno nelle norme di attuazione

Capo 5. Protezione delle informazioni classificate ue nei sistemi di comunicazione e informazione (cis)

Art. 34 Principi fondamentali della garanzia di sicurezza delle informazioni

1. Per «garanzia di sicurezza delle informazioni (IA) nel campo dei sistemi di comunicazione e informazione» si intende la fiducia nel fatto che tali sistemi proteggeranno le informazioni che trattano e funzioneranno nel modo dovuto e a tempo debito sotto il controllo degli utenti legittimi.

2. Un'efficace garanzia di sicurezza delle informazioni assicura livelli adeguati di:

— autenticità: garanzia che l'informazione è veritiera e proviene da fonti in buona fede,

— disponibilità: proprietà di accessibilità e utilizzabilità su richiesta di un'entità autorizzata,

— riservatezza: proprietà per cui l'informazione non è divulgata a persone, entità o procedure non autorizzate,

— integrità: proprietà di tutela della precisione e della completezza delle informazioni e delle risorse,

— non disconoscibilità: capacità di provare che un'azione o un evento sono effettivamente accaduti e non possono essere negati in seguito.

3. L'IA si basa su una procedura di gestione del rischio.

Art. 35 Definizioni

Ai fini del presente capo si intende per:

  1. a) «accreditamento», l'autorizzazione e l'approvazione formale accordata a un sistema di comunicazione e informazione dall'autorità di accreditamento in materia di sicurezza (SAA) per il trattamento di ICUE nel suo contesto operativo, in seguito alla convalida formale del piano di sicurezza e alla sua corretta attuazione;

  2. b) «procedura di accreditamento», le misure e i compiti necessari richiesti dall'autorità di accreditamento in materia di sicurezza prima di accordare l'accreditamento. Tali misure e compiti sono specificati in una norma di procedura di accreditamento;

  3. c) «sistema di comunicazione e informazione (CIS)», ogni sistema che consente il trattamento delle informazioni in forma elettronica. Un sistema di comunicazione e informazione comprende l'insieme delle risorse necessarie al suo funzionamento, ivi compresi l'infrastruttura, l'organizzazione, il personale e le risorse dell'informazione;

  4. d) «rischio residuo», il rischio che permane una volta attuate delle misure di sicurezza, dato che non tutte le minacce possono essere neutralizzate né tutte le vulnerabilità eliminate;

  5. e) «rischio», la possibilità che una data minaccia sfrutti le vulnerabilità interne ed esterne di un'organizzazione o di uno qualsiasi dei sistemi da essa utilizzati, arrecando pertanto danno all'organizzazione o ai suoi beni materiali o immateriali. È calcolato come una combinazione tra le probabilità del verificarsi delle minacce e il loro impatto;

  6. f) «accettazione del rischio», la decisione di accettare la permanenza di un rischio residuo in seguito al trattamento del rischio;

  7. g) «valutazione del rischio», l'identificazione delle minacce e delle vulnerabilità e l'esecuzione delle relative analisi del rischio, ossia l'analisi della probabilità e dell'impatto;

  8. h) «comunicazione del rischio», lo sviluppo della sensibilizzazione ai rischi tra le comunità di utenti del CIS, informando di tali rischi le autorità di approvazione e riferendo sugli stessi alle autorità operative;

  9. i) «trattamento del rischio», mitigazione, rimozione, riduzione (tramite un'opportuna combinazione di misure tecniche, materiali, organizzative o procedurali), trasferimento o controllo del rischio.

Art. 36 CIS che trattano ICUE

1. I CIS trattano le ICUE conformemente al concetto di IA.

2. Per i CIS che trattano ICUE, la conformità alla politica della Commissione in materia di sicurezza dei sistemi di informazione, di cui alla decisione C(2006) 360211 della Commissione, implica quanto segue:

  1. a) per attuare la politica in materia di sicurezza dei sistemi di informazione si applica l'approccio basato sul ciclo di Deming (ciclo Plan-Do-Check-Act) durante l'intero ciclo di vita del sistema di informazioni;

  2. b) le esigenze in materia di sicurezza devono essere identificate attraverso una valutazione d'impatto;

  3. c) il sistema di informazione e i dati al suo interno devono essere oggetto di una classificazione formale delle attività;

  4. d) devono essere attuate tutte le misure di sicurezza obbligatorie stabilite dalla politica in materia di sicurezza dei sistemi di informazione;

  5. e) deve essere applicata una procedura di gestione del rischio, che comprende le seguenti fasi: identificazione della minaccia e della vulnerabilità, valutazione del rischio, trattamento del rischio, accettazione del rischio e comunicazione del rischio;

  6. f) è definito, attuato, verificato e riesaminato un piano di sicurezza, che comprende la politica di sicurezza e le procedure operative di sicurezza.

3. Tutto il personale coinvolto nella progettazione, nello sviluppo, nel collaudo, nel funzionamento, nella gestione o nell'utilizzo di CIS che trattano ICUE notifica all'autorità di accreditamento in materia di sicurezza ogni potenziale lacuna di sicurezza, incidente, violazione o compromissione della sicurezza che potrebbe avere conseguenze sulla protezione del CIS e/o delle ICUE in esso contenute.

4. Qualora la protezione delle ICUE sia assicurata mediante prodotti crittografici, tali prodotti sono approvati secondo le modalità seguenti:

  1. a) di preferenza la scelta va ai prodotti che sono stati approvati dal Consiglio o dal segretario generale del Consiglio nel suo ruolo di autorità di approvazione degli apparati crittografici del Consiglio, su raccomandazione del gruppo di esperti in materia di sicurezza della Commissione;

  2. b) ove giustificato da specifici motivi operativi, l'autorità di approvazione degli apparati crittografici (CAA) può, su raccomandazione del gruppo di esperti in materia di sicurezza della Commissione, derogare ai requisiti di cui al punto a) e rilasciare un'approvazione temporanea per un periodo specifico.

5. Durante la trasmissione, il trattamento e l'archiviazione di ICUE con mezzi elettronici si usano prodotti crittografici approvati. In deroga a tale requisito, in situazioni di emergenza o in configurazioni tecniche specifiche si possono applicare procedure specifiche previa approvazione della CAA.

6. Sono attuate misure di sicurezza per proteggere i CIS che trattano informazioni classificate di livello CONFIDENTIEL UE/EU CONFIDENTIAL o superiore in modo tale che tali informazioni non possano essere compromesse da radiazioni elettromagnetiche non intenzionali («misure di sicurezza TEMPEST»). Dette misure di sicurezza sono commisurate al rischio di sfruttamento e al livello di classifica delle informazioni.

7. All'autorità di sicurezza della Commissione sono assegnate le seguenti funzioni:

autorità IA (IAA),

autorità di accreditamento di sicurezza (SAA),

autorità TEMPEST (TA),

autorità di approvazione degli apparati crittografici (CAA),

autorità di distribuzione degli apparati crittografici (CDA).

8. L'autorità di sicurezza della Commissione nomina l'autorità operativa IA per ciascun sistema.

9. Le responsabilità delle funzioni descritte nei paragrafi 7 e 8 saranno definite nelle norme di attuazione.

Art. 37 Accreditamento di CIS che trattano ICUE

1. Tutti i CIS che trattano ICUE sono soggetti a una procedura di accreditamento basata sui principi dell'IA, il cui livello di dettaglio deve essere commisurato al livello di protezione richiesto.

2. La procedura di accreditamento comprende la convalida formale, da parte dell'SAA della Commissione, del piano di sicurezza per il CIS pertinente al fine di garantire che:

  1. a) la procedura di gestione del rischio, di cui all'articolo 36, paragrafo 2, sia stata effettuata in modo adeguato;

  2. b) il proprietario del sistema abbia accettato consapevolmente il rischio residuo; e

  3. c) sia stato raggiunto un livello sufficiente di protezione del CIS, e delle ICUE in esso trattate, conformemente alla presente decisione.

3. L'SAA della Commissione rilascia una dichiarazione di accreditamento che determina il livello di classifica più elevato delle ICUE che può essere trattato nel CIS nonché i termini e le condizioni associati al funzionamento. Ciò non pregiudica i compiti affidati al comitato di accreditamento di sicurezza stabiliti all'articolo 11 del regolamento (UE) n. 512/2014 del Parlamento europeo e del Consiglio12.

4. Un comitato di accreditamento di sicurezza (SAB) comune è responsabile dell'accreditamento dei CIS della Commissione che coinvolgono diverse parti. Esso è composto di un rappresentante SAA di ciascuna parte coinvolta e vi partecipa un rappresentante SAA della Commissione.

5. La procedura di accreditamento consiste in una serie di compiti assegnati alle parti coinvolte. Il proprietario del sistema CIS è il solo responsabile della preparazione dei fascicoli e della documentazione.

6. L'accreditamento compete all'SAA della Commissione, che, in qualsiasi momento del ciclo di vita del CIS, ha diritto di:

  1. a) chiedere l'applicazione di una procedura di accreditamento;

  2. b) effettuare audit o ispezioni del CIS;

  3. c) qualora non siano più soddisfatte le condizioni di funzionamento, chiedere la definizione e l'attuazione effettiva di un piano di miglioramento della sicurezza entro tempi ben definiti, arrivando a ritirare l'autorizzazione al funzionamento del CIS fino a quando le condizioni di funzionamento non siano nuovamente soddisfatte.

7. La procedura di accreditamento è stabilita in una norma sulla procedura di accreditamento per i CIS che trattano ICUE, che è adottata a norma dell'articolo 10, paragrafo 3, della decisione C(2006) 3602.

Art. 38 Situazioni di emergenza

1. In deroga alle disposizioni del presente capo, le procedure specifiche descritte di seguito possono essere applicate in casi di emergenza, come in situazioni di crisi, conflitti, guerre imminenti o già in corso o in circostanze operative eccezionali.

2. Le ICUE possono essere trasmesse, previo consenso dell'autorità competente, usando prodotti crittografici approvati per un livello di classifica inferiore o senza cifratura nel caso in cui un ritardo causerebbe un danno manifestamente maggiore di quello dovuto all'eventuale divulgazione del materiale classificato e se:

  1. a) il mittente e il destinatario non hanno l'attrezzatura di cifratura necessaria; e

  2. b) il materiale classificato non può essere trasmesso in tempo utile con altri mezzi.

3. Le informazioni classificate trasmesse nelle circostanze di cui al paragrafo 1 non recano alcun contrassegno o indicazione che le distinguano da informazioni non classificate o che possono essere protette mediante prodotti crittografici disponibili. I destinatari sono informati tempestivamente, con altri mezzi, del livello di classifica.

4. È presentato un successivo rapporto all'autorità competente e al gruppo di esperti in materia di sicurezza della Commissione.

Capo 6. Sicurezza industriale

Art. 39 Principi di base

1. Per «sicurezza industriale» si intende l'applicazione di misure che assicurino la protezione delle ICUE:

  1. a) nell'ambito di contratti classificati, da parte di:

    1. i) candidati od offerenti attraverso la procedura di appalto e aggiudicazione;

    2. ii) contraenti o subcontraenti lungo tutto il ciclo di vita dei contratti classificati;

  2. b) nell'ambito di convenzioni di sovvenzione classificate, da parte di:

    1. i) i richiedenti durante le procedure di concessione di una sovvenzione;

    2. ii) i beneficiari lungo tutto il ciclo di vita delle convenzioni di sovvenzione classificate.

2. Tali contratti o convenzioni di sovvenzione non contemplano le informazioni classificate di livello TRÈS SECRET UE/EU TOP SECRET.

3. Se non stabilito diversamente, le disposizioni del presente capo relative ai contratti o ai contraenti si applicano anche ai subcontratti o ai subcontraenti classificati.

Art. 40 Definizioni

Ai fini del presente capo si intende per:

  1. a) «contratto classificato», un contratto quadro o un contratto, conformemente al regolamento (CE, Euratom) n. 1605/2002 del Consiglio13, stipulato dalla Commissione o da uno dei suoi servizi, con un contraente per la fornitura di beni mobili o immobili, l'esecuzione di lavori o la prestazione di servizi, la cui esecuzione richiede o implica la creazione, il trattamento o la conservazione di ICUE;

  2. b) «subcontratto classificato», un contratto stipulato da un contraente della Commissione o uno dei suoi servizi con un altro contraente (vale a dire il subcontraente) per la fornitura di beni mobili o immobili, l'esecuzione di lavori o la prestazione di servizi, la cui esecuzione richiede o implica la creazione, il trattamento o la conservazione di ICUE;

  3. c) «convenzione di sovvenzione classificata», una convenzione con cui la Commissione concede una sovvenzione, come stabilito nella parte I, titolo VI, del regolamento (CE, Euratom) n. 1605/2002, la cui esecuzione richiede o implica la creazione, il trattamento o la conservazione di ICUE;

  4. d) «autorità di sicurezza designata» (DSA), l'autorità che fa capo all'autorità di sicurezza nazionale (NSA) di uno Stato membro, incaricata di comunicare ai soggetti industriali o di altra natura la linea politica nazionale riguardo a tutti gli aspetti della sicurezza industriale e di fornire guida e assistenza nell'attuazione della medesima. La funzione della DSA può essere espletata dall'NSA o da qualsiasi altra autorità competente.

Art. 41 Procedura per contratti classificati o convenzioni di sovvenzione

1. In quanto autorità contraente, ogni servizio della Commissione, nell'aggiudicare un contratto classificato o una convezione di sovvenzione, assicura che le norme minime sulla sicurezza industriale previste nel presente capo siano menzionate o integrate nel contratto e che siano rispettate.

2. Ai fini del paragrafo 1, i servizi competenti della Commissione chiedono il parere della direzione generale Risorse umane e sicurezza, in particolare della direzione Sicurezza, e si assicurano che i modelli di contratti, subcontratti e convenzioni di sovvenzione includano disposizioni che riflettano i principi di base e le norme minime per proteggere le ICUE che devono essere rispettate sia dai contraenti e subcontraenti, sia dai beneficiari delle convenzioni di sovvenzione.

3. La Commissione collabora strettamente con l'NSA, la DSA o altra autorità competente degli Stati membri interessati.

4. L'autorità contraente che intende lanciare una procedura intesa a concludere un contratto classificato o una convenzione di sovvenzione chiede il parere dell'autorità di sicurezza della Commissione sulle questioni relative alla natura e agli elementi classificati della procedura durante tutte le sue fasi.

5. I modelli dei contratti e dei subcontratti classificati, delle convenzioni di sovvenzione classificate, delle comunicazioni contrattuali, degli orientamenti sulle circostanze in cui sono richiesti i nulla osta di sicurezza delle imprese (FSC), le istruzioni di sicurezza del programma o progetto (PSI), le lettere sugli aspetti di sicurezza (SAL), le visite, la trasmissione e il trasporto di ICUE nell'ambito di contratti o convenzioni di sovvenzione classificati sono definiti nelle norme di attuazione sulla sicurezza industriale, previa consultazione del gruppo di esperti in materia di sicurezza della Commissione.

6. La Commissione può concludere contratti o convenzioni di sovvenzione classificati che comportano o implicano l'accesso a, il trattamento o la conservazione di ICUE da parte di operatori economici registrati in uno Stato membro o in uno Stato terzo che abbia concluso un accordo o un accordo amministrativo conformemente al capo 7 della presente decisione.

Art. 42 Elementi di sicurezza in un contratto classificato o in una convenzione di sovvenzione

1. I contratti classificati o le convenzioni di sovvenzione comprendono i seguenti elementi di sicurezza:

istruzione di sicurezza del programma o progetto:

  1. a) per «istruzione di sicurezza del programma o progetto» (PSI) si intende un elenco delle procedure di sicurezza che sono applicate a un programma o progetto specifico per uniformare le procedure di sicurezza. L'elenco può essere riveduto per tutta la durata del programma o progetto;

  2. b) la direzione generale Risorse umane e sicurezza sviluppa una PSI generica. I servizi della Commissione responsabili dei programmi o dei progetti che prevedono il trattamento o la conservazione di ICUE possono sviluppare, ove opportuno, PSI specifiche basate sulla PSI generica;

  3. c) una PSI specifica è sviluppata in particolare per i programmi e i progetti caratterizzati da portata, entità o complessità considerevoli o dalla molteplicità e/o la diversità dei contraenti, dei beneficiari nonché degli altri partner e portatori d'interessi coinvolti, ad esempio per quanto riguarda il loro status giuridico. La PSI specifica è sviluppata dai servizi della Commissione che gestiscono il programma o progetto, in stretta collaborazione con la direzione generale Risorse umane e sicurezza;

  4. d) la direzione generale Risorse umane e sicurezza chiede un parere sulle PSI generiche e specifiche al gruppo di esperti in materia di sicurezza della Commissione;

lettera sugli aspetti di sicurezza (SAL):

  1. a) per «lettera sugli aspetti di sicurezza» (SAL) si intende un pacchetto di condizioni contrattuali specifiche emesso dall'autorità contraente, che è parte integrante di un contratto classificato implicante l'accesso o la creazione di ICUE e in cui sono individuati i requisiti di sicurezza e gli elementi del contratto che richiedono una protezione di sicurezza;

  2. b) i requisiti di sicurezza specifici del contratto sono indicati in una SAL. Ove opportuno, tale SAL contiene la guida alle classifiche di sicurezza (SCG) ed è parte integrante di un contratto o subcontratto classificato o di una convenzione di sovvenzione;

  3. c) la SAL contiene le disposizioni che impongono al contraente o al beneficiario di osservare le norme minime stabilite dalla presente decisione. L'autorità contraente assicura che la SAL indichi che l'inosservanza di tali norme minime può essere motivo sufficiente di estinzione del contratto o della convenzione di sovvenzione.

2. Sia le PSI che le SAL comprendono una guida alle classifiche di sicurezza, quale elemento di sicurezza obbligatorio:

  1. a) per «guida alle classifiche di sicurezza» (SCG), si intende un documento che illustra gli elementi di un programma, progetto, contratto o convenzione di sovvenzione classificati e precisa i livelli di classifica di sicurezza applicabili. L'SCG può essere integrata per tutta la durata del programma, progetto, contratto o convenzione di sovvenzione e gli elementi informativi possono essere riclassificati o declassati; se esistente, l'SCG fa parte della SAL;

  2. b) prima di indire un bando di gara o di concludere un contratto classificato, il servizio della Commissione in quanto autorità contraente stabilisce la classifica di sicurezza delle informazioni che devono essere fornite ai candidati, agli offerenti o ai contraenti, nonché la classifica di sicurezza delle informazioni che il contraente deve creare. A tale scopo elabora un'SCG ai fini dell'esecuzione del contratto conformemente alla presente decisione e alle sue norme di attuazione, previa consultazione dell'autorità di sicurezza della Commissione.

  3. c) Per stabilire la classifica di sicurezza dei vari elementi di un contratto classificato si applicano i principi seguenti:

    1. i) nel redigere la SCG, il servizio della Commissione, in quanto autorità contraente, tiene conto di tutti gli aspetti di sicurezza, tra cui la classifica di sicurezza assegnata all'informazione fornita e approvata che l'originatore dell'informazione deve usare per il contratto;

    2. ii) il livello generale di classifica del contratto non può essere inferiore alla classifica più elevata di uno dei suoi elementi; e

    3. iii) ove opportuno, l'autorità contraente si mette in contatto, attraverso l'autorità di sicurezza della Commissione, con le NSA, DSA degli Stati membri o altre autorità di sicurezza competenti interessate in caso di qualsiasi modifica nella classifica delle informazioni create dai contraenti o ad essi fornite nell'esecuzione di un contratto e di eventuali ulteriori modifiche alla SCG.

Art. 43 Accesso del personale dei contraenti e dei beneficiari alle ICUE

L'autorità contraente o che eroga la sovvenzione assicura che il contratto classificato o la convenzione di sovvenzione classificata prevedano disposizioni che consentono al personale di un contraente, subcontraente o beneficiario che ne abbiano bisogno per l'esecuzione del contratto, subcontratto o convenzione di sovvenzione classificati, l'accesso alle ICUE solo se il personale:

  1. a) dispone dell'autorizzazione di sicurezza del livello pertinente o è autorizzato debitamente in altro modo da una necessità di conoscere riconosciuta;

  2. b) sia stato istruito sulle norme di sicurezza applicabili per la protezione delle ICUE ed abbia riconosciuto le proprie responsabilità in materia di protezione di tali informazioni;

  3. c) abbia ricevuto il nulla osta di sicurezza al livello pertinente per le informazioni classificate di livello CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET dalle rispettive NSA e DSA o da altre autorità competenti.

Art. 44 Nulla osta di sicurezza delle imprese

1. Per «nulla osta di sicurezza delle imprese» (FSC) si intende una decisione amministrativa di un'NSA, una DSA o altra autorità di sicurezza competente, secondo la quale un'impresa è in grado, sotto il profilo della sicurezza, di offrire un adeguato livello di protezione alle ICUE ad un determinato livello di classifica di sicurezza;

2. L'FSC concesso dall'NSA/DSA o altra autorità di sicurezza competente di uno Stato membro per indicare, conformemente alle disposizioni legislative e regolamentari nazionali, che un operatore economico è in grado di proteggere le ICUE al livello adatto di classifica (CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET) all'interno delle proprie strutture, viene presentata all'autorità di sicurezza della Commissione, che la trasmette al servizio della Commissione operante in quanto autorità contraente o che eroga la sovvenzione, prima che a un candidato, offerente o contraente oppure a un richiedente o beneficiario della sovvenzione siano comunicate delle ICUE o possa essere concesso l'accesso a tali informazioni classificate.

3. Ove opportuno, attraverso l'autorità di sicurezza della Commissione, l'autorità contraente notifica all'NSA, DSA pertinente o altra autorità di sicurezza competente che è necessario un FSC per l'esecuzione del contratto. È richiesto un FSC o un PSC laddove occorre fornire ICUE classificate di livello CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET durante il processo di presentazione delle offerte.

4. L'autorità contraente o che eroga la sovvenzione non assegna all'offerente o partecipante selezionato un contratto classificato o una convenzione di sovvenzione prima di aver ricevuto conferma dall'NSA, DSA, o da altra autorità di sicurezza competente dello Stato membro in cui ha sede il contraente o subcontraente interessato, che laddove necessario è stato rilasciato l'FSC adatto.

5. Se l'NSA, DSA o altra autorità di sicurezza competente che ha rilasciato un FSC notifica l'autorità di sicurezza della Commissione in merito a modifiche dell'FSC, quest'ultima le comunica al servizio della Commissione operante come autorità contraente o che eroga la sovvenzione. In caso di subcontratto, l'NSA, DSA o altra autorità di sicurezza competente è informata di conseguenza.

6. La revoca dell'FSC da parte dell'NSA/DSA interessata o da altra autorità di sicurezza competente è motivo sufficiente per far sì che l'autorità contraente o che eroga la sovvenzione estingua il contratto classificato o escluda un candidato, offerente o richiedente dalla gara. Nei modelli di contratto e di convenzione di sovvenzione che saranno elaborati occorre inserire una disposizione a tale scopo

Fonti e licenze