diritto.io

Decisione (UE, Euratom) 2015/444 della Commissione del 13 marzo 2015 sulle norme di sicurezza per proteggere le informazioni classificate UE

Testo vigente

Art. 41 Procedura per contratti classificati o convenzioni di sovvenzione

1. In quanto autorità contraente, ogni servizio della Commissione, nell'aggiudicare un contratto classificato o una convezione di sovvenzione, assicura che le norme minime sulla sicurezza industriale previste nel presente capo siano menzionate o integrate nel contratto e che siano rispettate.

2. Ai fini del paragrafo 1, i servizi competenti della Commissione chiedono il parere della direzione generale Risorse umane e sicurezza, in particolare della direzione Sicurezza, e si assicurano che i modelli di contratti, subcontratti e convenzioni di sovvenzione includano disposizioni che riflettano i principi di base e le norme minime per proteggere le ICUE che devono essere rispettate sia dai contraenti e subcontraenti, sia dai beneficiari delle convenzioni di sovvenzione.

3. La Commissione collabora strettamente con l'NSA, la DSA o altra autorità competente degli Stati membri interessati.

4. L'autorità contraente che intende lanciare una procedura intesa a concludere un contratto classificato o una convenzione di sovvenzione chiede il parere dell'autorità di sicurezza della Commissione sulle questioni relative alla natura e agli elementi classificati della procedura durante tutte le sue fasi.

5. I modelli dei contratti e dei subcontratti classificati, delle convenzioni di sovvenzione classificate, delle comunicazioni contrattuali, degli orientamenti sulle circostanze in cui sono richiesti i nulla osta di sicurezza delle imprese (FSC), le istruzioni di sicurezza del programma o progetto (PSI), le lettere sugli aspetti di sicurezza (SAL), le visite, la trasmissione e il trasporto di ICUE nell'ambito di contratti o convenzioni di sovvenzione classificati sono definiti nelle norme di attuazione sulla sicurezza industriale, previa consultazione del gruppo di esperti in materia di sicurezza della Commissione.

6. La Commissione può concludere contratti o convenzioni di sovvenzione classificati che comportano o implicano l'accesso a, il trattamento o la conservazione di ICUE da parte di operatori economici registrati in uno Stato membro o in uno Stato terzo che abbia concluso un accordo o un accordo amministrativo conformemente al capo 7 della presente decisione.

Art. 42 Elementi di sicurezza in un contratto classificato o in una convenzione di sovvenzione

1. I contratti classificati o le convenzioni di sovvenzione comprendono i seguenti elementi di sicurezza:

istruzione di sicurezza del programma o progetto:

  1. a) per «istruzione di sicurezza del programma o progetto» (PSI) si intende un elenco delle procedure di sicurezza che sono applicate a un programma o progetto specifico per uniformare le procedure di sicurezza. L'elenco può essere riveduto per tutta la durata del programma o progetto;

  2. b) la direzione generale Risorse umane e sicurezza sviluppa una PSI generica. I servizi della Commissione responsabili dei programmi o dei progetti che prevedono il trattamento o la conservazione di ICUE possono sviluppare, ove opportuno, PSI specifiche basate sulla PSI generica;

  3. c) una PSI specifica è sviluppata in particolare per i programmi e i progetti caratterizzati da portata, entità o complessità considerevoli o dalla molteplicità e/o la diversità dei contraenti, dei beneficiari nonché degli altri partner e portatori d'interessi coinvolti, ad esempio per quanto riguarda il loro status giuridico. La PSI specifica è sviluppata dai servizi della Commissione che gestiscono il programma o progetto, in stretta collaborazione con la direzione generale Risorse umane e sicurezza;

  4. d) la direzione generale Risorse umane e sicurezza chiede un parere sulle PSI generiche e specifiche al gruppo di esperti in materia di sicurezza della Commissione;

lettera sugli aspetti di sicurezza (SAL):

  1. a) per «lettera sugli aspetti di sicurezza» (SAL) si intende un pacchetto di condizioni contrattuali specifiche emesso dall'autorità contraente, che è parte integrante di un contratto classificato implicante l'accesso o la creazione di ICUE e in cui sono individuati i requisiti di sicurezza e gli elementi del contratto che richiedono una protezione di sicurezza;

  2. b) i requisiti di sicurezza specifici del contratto sono indicati in una SAL. Ove opportuno, tale SAL contiene la guida alle classifiche di sicurezza (SCG) ed è parte integrante di un contratto o subcontratto classificato o di una convenzione di sovvenzione;

  3. c) la SAL contiene le disposizioni che impongono al contraente o al beneficiario di osservare le norme minime stabilite dalla presente decisione. L'autorità contraente assicura che la SAL indichi che l'inosservanza di tali norme minime può essere motivo sufficiente di estinzione del contratto o della convenzione di sovvenzione.

2. Sia le PSI che le SAL comprendono una guida alle classifiche di sicurezza, quale elemento di sicurezza obbligatorio:

  1. a) per «guida alle classifiche di sicurezza» (SCG), si intende un documento che illustra gli elementi di un programma, progetto, contratto o convenzione di sovvenzione classificati e precisa i livelli di classifica di sicurezza applicabili. L'SCG può essere integrata per tutta la durata del programma, progetto, contratto o convenzione di sovvenzione e gli elementi informativi possono essere riclassificati o declassati; se esistente, l'SCG fa parte della SAL;

  2. b) prima di indire un bando di gara o di concludere un contratto classificato, il servizio della Commissione in quanto autorità contraente stabilisce la classifica di sicurezza delle informazioni che devono essere fornite ai candidati, agli offerenti o ai contraenti, nonché la classifica di sicurezza delle informazioni che il contraente deve creare. A tale scopo elabora un'SCG ai fini dell'esecuzione del contratto conformemente alla presente decisione e alle sue norme di attuazione, previa consultazione dell'autorità di sicurezza della Commissione.

  3. c) Per stabilire la classifica di sicurezza dei vari elementi di un contratto classificato si applicano i principi seguenti:

    1. i) nel redigere la SCG, il servizio della Commissione, in quanto autorità contraente, tiene conto di tutti gli aspetti di sicurezza, tra cui la classifica di sicurezza assegnata all'informazione fornita e approvata che l'originatore dell'informazione deve usare per il contratto;

    2. ii) il livello generale di classifica del contratto non può essere inferiore alla classifica più elevata di uno dei suoi elementi; e

    3. iii) ove opportuno, l'autorità contraente si mette in contatto, attraverso l'autorità di sicurezza della Commissione, con le NSA, DSA degli Stati membri o altre autorità di sicurezza competenti interessate in caso di qualsiasi modifica nella classifica delle informazioni create dai contraenti o ad essi fornite nell'esecuzione di un contratto e di eventuali ulteriori modifiche alla SCG.

Art. 43 Accesso del personale dei contraenti e dei beneficiari alle ICUE

L'autorità contraente o che eroga la sovvenzione assicura che il contratto classificato o la convenzione di sovvenzione classificata prevedano disposizioni che consentono al personale di un contraente, subcontraente o beneficiario che ne abbiano bisogno per l'esecuzione del contratto, subcontratto o convenzione di sovvenzione classificati, l'accesso alle ICUE solo se il personale:

  1. a) dispone dell'autorizzazione di sicurezza del livello pertinente o è autorizzato debitamente in altro modo da una necessità di conoscere riconosciuta;

  2. b) sia stato istruito sulle norme di sicurezza applicabili per la protezione delle ICUE ed abbia riconosciuto le proprie responsabilità in materia di protezione di tali informazioni;

  3. c) abbia ricevuto il nulla osta di sicurezza al livello pertinente per le informazioni classificate di livello CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET dalle rispettive NSA e DSA o da altre autorità competenti.

Art. 44 Nulla osta di sicurezza delle imprese

1. Per «nulla osta di sicurezza delle imprese» (FSC) si intende una decisione amministrativa di un'NSA, una DSA o altra autorità di sicurezza competente, secondo la quale un'impresa è in grado, sotto il profilo della sicurezza, di offrire un adeguato livello di protezione alle ICUE ad un determinato livello di classifica di sicurezza;

2. L'FSC concesso dall'NSA/DSA o altra autorità di sicurezza competente di uno Stato membro per indicare, conformemente alle disposizioni legislative e regolamentari nazionali, che un operatore economico è in grado di proteggere le ICUE al livello adatto di classifica (CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET) all'interno delle proprie strutture, viene presentata all'autorità di sicurezza della Commissione, che la trasmette al servizio della Commissione operante in quanto autorità contraente o che eroga la sovvenzione, prima che a un candidato, offerente o contraente oppure a un richiedente o beneficiario della sovvenzione siano comunicate delle ICUE o possa essere concesso l'accesso a tali informazioni classificate.

3. Ove opportuno, attraverso l'autorità di sicurezza della Commissione, l'autorità contraente notifica all'NSA, DSA pertinente o altra autorità di sicurezza competente che è necessario un FSC per l'esecuzione del contratto. È richiesto un FSC o un PSC laddove occorre fornire ICUE classificate di livello CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET durante il processo di presentazione delle offerte.

4. L'autorità contraente o che eroga la sovvenzione non assegna all'offerente o partecipante selezionato un contratto classificato o una convenzione di sovvenzione prima di aver ricevuto conferma dall'NSA, DSA, o da altra autorità di sicurezza competente dello Stato membro in cui ha sede il contraente o subcontraente interessato, che laddove necessario è stato rilasciato l'FSC adatto.

5. Se l'NSA, DSA o altra autorità di sicurezza competente che ha rilasciato un FSC notifica l'autorità di sicurezza della Commissione in merito a modifiche dell'FSC, quest'ultima le comunica al servizio della Commissione operante come autorità contraente o che eroga la sovvenzione. In caso di subcontratto, l'NSA, DSA o altra autorità di sicurezza competente è informata di conseguenza.

6. La revoca dell'FSC da parte dell'NSA/DSA interessata o da altra autorità di sicurezza competente è motivo sufficiente per far sì che l'autorità contraente o che eroga la sovvenzione estingua il contratto classificato o escluda un candidato, offerente o richiedente dalla gara. Nei modelli di contratto e di convenzione di sovvenzione che saranno elaborati occorre inserire una disposizione a tale scopo

Art. 45 Disposizioni per contratti e convenzioni di sovvenzione classificati

1. Qualora a un candidato, offerente o richiedente siano fornite ICUE durante la procedura di aggiudicazione, l'invito a presentare offerte contiene una disposizione che impone al candidato, offerente o richiedente che non ha presentato un'offerta o proposta o che non è stato selezionato l'obbligo di restituire tutti i documenti classificati entro un periodo di tempo determinato.

2. L'autorità contraente o che eroga la sovvenzione notifica, attraverso l'autorità di sicurezza della Commissione, all'NSA, DSA competente o altra autorità di sicurezza competente l'aggiudicazione di un contratto o di una convenzione di sovvenzione classificati e i dati pertinenti, quali il nome del/i contraente/i o beneficiari, la durata del contratto e il livello massimo di classifica.

3. In caso di estinzione di detti contratti o convenzioni di sovvenzione, l'autorità contraente o che eroga la sovvenzione ne notifica immediatamente, attraverso l'autorità di sicurezza della Commissione, l'NSA, DSA o altra autorità di sicurezza competente dello Stato membro in cui il contraente o beneficiario della sovvenzione ha sede.

4. Di norma, alla cessazione del contratto o della convenzione di sovvenzione classificati oppure al termine della partecipazione di un beneficiario della sovvenzione, il contraente o il beneficiario della sovvenzione è tenuto a restituire all'autorità contraente o che eroga la sovvenzione le ICUE in suo possesso.

5. La SAL contiene disposizioni specifiche per l'eliminazione delle ICUE durante l'esecuzione o alla cessazione del contratto o della convenzione di sovvenzione classificati.

6. Se è autorizzato a conservare le ICUE alla cessazione di un contratto o una convenzione di sovvenzione classificati, il contraente o beneficiario della sovvenzione continua a rispettare le norme minime previste dalla presente decisione nonché a proteggere la riservatezza delle ICUE.

Art. 46 Disposizioni specifiche per i contratti classificati

1. Le condizioni pertinenti alla protezione delle ICUE alle quali è ammesso il subcontratto da parte del contraente sono definite nel bando di gara e nel contratto classificato.

2. Prima di subappaltare parti di un contratto classificato il contraente ottiene il consenso dell'autorità contraente. Nessun subcontratto che prevede l'accesso a ICUE può essere aggiudicato a subcontraenti con sede in paesi terzi, a meno che vi sia un quadro normativo per la sicurezza delle informazioni come previsto al capo 7.

3. Spetta al contraente assicurare che tutte le attività del subcontratto si svolgano secondo le norme minime previste dalla presente decisione e astenersi dal fornire ICUE a un subcontraente senza previo consenso scritto dell'autorità contraente.

4. Per quanto riguarda le ICUE create o trattate dal contraente, la Commissione è considerata l'originatore e i diritti spettanti all'originatore sono esercitati dall'autorità contraente.

Art. 47 Visite relative a contratti classificati

1. Se un membro del personale della Commissione, dei contraenti o dei beneficiari della sovvenzione richiede l'accesso a informazioni classificate CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET nei rispettivi locali per l'esecuzione di un contratto o di una convenzione di sovvenzione classificati, le visite sono fissate di concerto con le NSA, DSA o altre autorità di sicurezza competenti interessate. L'autorità di sicurezza della Commissione è informata di tali visite. Tuttavia, nel contesto di programmi o progetti specifici, le NSA, DSA o altre autorità di sicurezza competenti possono anche convenire una procedura in base alla quale tali visite possono essere fissate direttamente.

2. Tutti i visitatori dispongono di un nulla osta di sicurezza adatto e hanno una necessità di conoscere per accedere alle ICUE relative al contratto classificato.

3. I visitatori possono accedere solo alle ICUE relative all'oggetto della visita.

4. disposizioni più dettagliate figureranno nelle norme di attuazione.

5. Il rispetto delle disposizioni in merito alle visite relative ai contratti classificati, stabilite nella presente decisione e nelle norme di attuazione di cui al paragrafo 4, è obbligatorio.

Art. 48 Trasmissione e trasporto di ICUE in relazione ai contratti o alle convenzioni di sovvenzione classificati

1. Per la trasmissione di ICUE mediante mezzi elettronici si applicano le pertinenti disposizioni del capo 5 della presente decisione.

2. Per quanto riguarda il trasporto di ICUE, si applicano le pertinenti disposizioni del capo 4 della presente decisione e delle relative norme di attuazione, conformemente alle disposizioni legislative e regolamentari nazionali.

3. Per il trasporto di materiale classificato come merce, nel fissare i dispositivi di sicurezza si applicano i principi seguenti:

  1. a) la sicurezza è garantita in tutte le fasi del trasporto dal luogo di origine alla destinazione finale;

  2. b) il livello di protezione attribuito a una spedizione è determinato dal livello di classifica più elevato del materiale trasportato;

  3. c) qualsiasi movimento transfrontaliero di materiale classificato CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET è subordinato a un programma di trasporto elaborato dal mittente e approvato dalle NSA, DSA o altra autorità di sicurezza competente interessata;

  4. d) i tragitti sono effettuati, per quanto possibile, da punto a punto e sono completati quanto più rapidamente possibile secondo le circostanze;

  5. e) gli itinerari dovrebbero attraversare, per quanto possibile, unicamente Stati membri. Gli itinerari attraverso Stati diversi dagli Stati membri dovrebbero essere seguiti solo se autorizzati dall'NSA/DSA o da altra autorità di sicurezza competente degli Stati di spedizione e di destinazione.

Art. 49 Trasmissione di ICUE a contraenti o beneficiari di sovvenzioni situati in Stati terzi

Le ICUE sono trasmesse a contraenti o beneficiari della sovvenzione situati in Stati terzi secondo misure di sicurezza convenute tra l'autorità di sicurezza della Commissione, il servizio della Commissione in quanto autorità contraente o che eroga la sovvenzione e l'NSA, DSA o altra autorità di sicurezza competente del paese terzo interessato in cui il contraente o il beneficiario della sovvenzione ha sede.

Art. 50 Trattamento di informazioni classificate RESTREINT UE/EU RESTRICTED nell'ambito di contratti o convenzioni di sovvenzione classificati

1. La protezione delle informazioni classificate RESTREINT UE/EU RESTRICTED trattate o conservate nell'ambito di contratti o convenzioni di sovvenzione classificati si basa su principi di proporzionalità e efficienza economica.

2. Non sono richiesti FSC o PSC nell'ambito di contratti o convenzioni di sovvenzione classificati che implicano il trattamento di informazioni classificate di livello RESTREINT UE/EU RESTRICTED.

3. Se un contratto o una convenzione di sovvenzione comportano il trattamento di informazioni classificate RESTREINT UE/EU RESTRICTED in un CIS gestito da un contraente o beneficiario di sovvenzione, l'autorità contraente o che eroga la sovvenzione garantisce, previa consultazione dell'autorità di sicurezza della Commissione, che nel contratto o convenzione di sovvenzione siano specificati i requisiti tecnici e amministrativi necessari in merito all'accreditamento o all'approvazione del CIS commisurati al rischio valutato, tenendo conto di tutti i fattori pertinenti. La portata dell'accreditamento o dell'approvazione di tale CIS è concordata tra l'autorità di sicurezza della Commissione e l'NSA, DSA competente.

Capo 7. Scambio di informazioni classificate con altre istituzioni, agenzie, organi e uffici dell'unione, con gli stati membri e con stati terzi e organizzazioni internazionali

Art. 51 Principi di base

1. Se la Commissione o uno dei suoi servizi stabilisce che è necessario scambiare ICUE con un'altra istituzione, agenzia, organo o ufficio dell'Unione o con uno Stato terzo od organizzazione internazionale, vengono adottate le misure necessarie per predisporre un adeguato quadro giuridico o amministrativo a tale scopo, che potrebbe comprendere accordi sulla sicurezza delle informazioni o accordi amministrativi conclusi a norma dei pertinenti regolamenti.

2. Fatto salvo l'articolo 57, le ICUE sono scambiate con un'altra istituzione, agenzia, organo o ufficio dell'Unione o con uno Stato terzo o un'organizzazione internazionale solo se è predisposto il suddetto quadro giuridico o amministrativo adeguato e se vi sono garanzie sufficienti in merito all'applicazione di principi di base e norme minime equivalenti per la protezione di informazioni classificate da parte dell'istituzione, agenzia, organo o ufficio dell'Unione o dello Stato terzo o dell'organizzazione internazionale interessati.

Art. 52 Scambio di ICUE con altre istituzioni, agenzie, organi e uffici dell'Unione

1. Prima di stipulare un accordo amministrativo per lo scambio di ICUE con altre istituzioni, agenzie, organi o uffici dell'Unione, la Commissione si assicura che l'istituzione, l'agenzia, l'organo o l'ufficio dell'Unione interessati:

  1. a) disponga di un quadro normativo per la protezione delle ICUE che preveda principi di base e norme minime equivalenti a quelli stabiliti nella presente decisione e nelle relative norme di attuazione;

  2. b) applichi norme di sicurezza e orientamenti in materia di sicurezza del personale, sicurezza materiale, gestione delle ICUE e sicurezza dei sistemi di informazione e comunicazione (CIS) che garantiscano un livello di protezione delle ICUE equivalente a quello della Commissione;

  3. c) contrassegni come ICUE le informazioni classificate prodotte.

2. La direzione generale Risorse umane e sicurezza, in stretta collaborazione con altri pertinenti servizi della Commissione, è il servizio capofila della Commissione per la conclusione di accordi amministrativi per lo scambio di ICUE con altre istituzioni, agenzie, organi o uffici dell'Unione.

3. Di norma gli accordi amministrativi assumono la forma di uno scambio di lettere firmate dal direttore generale delle risorse umane e sicurezza a nome della Commissione.

4. Prima di stipulare un accordo amministrativo sullo scambio di ICUE, l'autorità di sicurezza della Commissione effettua una visita per valutare il quadro normativo che tutela le ICUE e accertare l'efficacia delle misure attuate per proteggere le ICUE. Gli accordi amministrativi entrano in vigore e le ICUE sono scambiate solo se il risultato della visita di valutazione è soddisfacente e sono state rispettate le raccomandazioni formulate in tale occasione. Sono effettuate regolari visite di valutazione per verificare il rispetto degli accordi amministrativi e l'attuazione delle misure di sicurezza nel continuo rispetto dei principi di base e delle norme minime concordati.

5. Nella Commissione, l'ufficio di registrazione delle ICUE gestito dal Segretariato generale è di norma il principale punto d'ingresso e uscita per gli scambi delle informazioni classificate con altre istituzioni, agenzie, organi e uffici dell'Unione. Tuttavia, se per motivi operativi, organizzativi o di sicurezza è più appropriato per la protezione delle ICUE, gli uffici locali di registrazione delle ICUE istituiti nei servizi della Commissione conformemente alla presente decisione operano come principale punto d'ingresso e uscita delle informazioni classificate, nell'ambito delle competenze dei servizi della Commissione interessati.

6. Il gruppo di esperti in materia di sicurezza della Commissione è informato delle procedure per la conclusione di accordi amministrativi a norma del paragrafo 2.

Art. 53 Scambio di ICUE con gli Stati membri

1. Le ICUE possono essere scambiate con gli Stati membri e comunicate ad essi a patto che essi proteggano tali informazioni in base ai requisiti applicabili alle informazioni classificate che recano un contrassegno di classifica di sicurezza nazionale di livello equivalente, come indicato nella tabella di equivalenza delle classifiche di sicurezza contenuta nell'allegato I.

2. Quando gli Stati membri introducono informazioni classificate che recano un contrassegno di classifica di sicurezza nazionale nelle strutture o nelle reti dell'Unione europea, quest'ultima protegge tali informazioni conformemente ai requisiti applicabili alle ICUE di livello equivalente come indicato nella tabella di equivalenza delle classifiche di sicurezza che figura nell'allegato I.

Art. 54 Scambio di ICUE con Stati terzi e organizzazioni internazionali

1. Se la Commissione stabilisce di avere necessità a lungo termine di scambiare informazioni classificate con Stati terzi od organizzazioni internazionali, vengono adottate le misure necessarie per predisporre un adeguato quadro giuridico o amministrativo a tale scopo, che potrebbe comprendere accordi sulla sicurezza delle informazioni o accordi amministrativi conclusi a norma dei pertinenti regolamenti.

2. Gli accordi sulla sicurezza delle informazioni o gli accordi amministrativi di cui al paragrafo 1 contengono disposizioni intese ad assicurare che gli Stati terzi o le organizzazioni internazionali che ricevono le ICUE conferiscano loro una protezione appropriata al loro livello di classifica e conforme a norme minime che equivalgono a quelle previste nella presente decisione.

3. La Commissione può pattuire accordi amministrativi a norma dell'articolo 56, se la classifica delle ICUE non supera in genere il livello RESTREINT UE/EU RESTRICTED.

4. Gli accordi amministrativi per lo scambio di informazioni classificate di cui al paragrafo 3 contengono disposizioni intese ad assicurare che gli Stati terzi o le organizzazioni internazionali che ricevono le ICUE conferiscano loro una protezione appropriata al loro livello di classifica e conforme a norme minime che equivalgono a quelle previste nella presente decisione. Il gruppo di esperti in materia di sicurezza della Commissione è consultato in merito alla conclusione di accordi sulla sicurezza delle informazioni o di accordi amministrativi.

5. La decisione di comunicare a Stati terzi od organizzazioni internazionali le ICUE originate dalla Commissione è presa caso per caso dal servizio della Commissione all'origine di dette ICUE nella Commissione, in funzione della natura e del contenuto di tali informazioni, della necessità di conoscere del destinatario e dell'entità dei vantaggi per l'Unione. Se l'originatore delle informazioni classificate che si desiderano comunicare, o delle fonti che può contenere, non è la Commissione, il servizio della Commissione che detiene tali informazioni classificate chiede anzitutto il consenso scritto dell'originatore. Se non è possibile stabilire l'originatore, il servizio della Commissione che detiene tali informazioni classificate ne assume la responsabilità dopo aver consultato il gruppo di esperti in materia di sicurezza della Commissione.

Art. 55 Accordi sulla sicurezza delle informazioni

1. Gli accordi sulla sicurezza delle informazioni con Stati terzi od organizzazioni internazionali sono conclusi a norma dell'articolo 218 del TFUE.

2. Gli accordi sulla sicurezza delle informazioni:

  1. a) stabiliscono i principi fondamentali e le norme minime che disciplinano lo scambio di informazioni classificate tra l'Unione e uno Stato terzo od organizzazione internazionale;

  2. b) prevedono modalità tecniche di attuazione da concordare tra le competenti autorità di sicurezza delle istituzioni e degli organi pertinenti dell'Unione e la competente autorità di sicurezza dello Stato terzo o dell'organizzazione internazionale interessati. Tali accordi tengono conto del livello di protezione garantito dalle normative, dalle strutture e dalle procedure in materia di sicurezza esistenti nello Stato terzo o nell'organizzazione internazionale in questione;

  3. c) prevedono che, prima dello scambio di informazioni classificate nel quadro dell'accordo, si accerti che il destinatario è in grado di proteggere e salvaguardare in modo appropriato le informazioni classificate che gli vengono fornite.

3. Qualora a norma dell'articolo 51, paragrafo 1, si stabilisca la necessità di scambiare informazioni classificate, la Commissione consulta il Servizio europeo per l'azione esterna, il Segretariato generale del Consiglio e altre istituzioni e organi dell'Unione, se opportuno, per decidere se occorre presentare una raccomandazione a norma dell'articolo 218, paragrafo 3, del TFUE.

4. Le ICUE non sono oggetto di scambio per via elettronica, a meno che non sia esplicitamente previsto dall'accordo sulla sicurezza delle informazioni o dalle modalità tecniche di attuazione.

5. Nella Commissione, l'ufficio di registrazione delle ICUE gestito dal segretariato generale è di norma il principale punto d'ingresso e uscita per gli scambi delle informazioni classificate con Stati terzi e organizzazioni internazionali. Tuttavia, se per motivi operativi, organizzativi o di sicurezza è più appropriato per la protezione delle ICUE, gli uffici locali di registrazione delle ICUE istituiti nei servizi della Commissione conformemente alla presente decisione operano come principale punto d'ingresso e uscita delle informazioni classificate, nell'ambito delle competenze dei servizi della Commissione interessati.

6. Per valutare l'efficacia delle normative, delle strutture e delle procedure di sicurezza nello Stato terzo o nell'organizzazione internazionale in questione, la Commissione, in collaborazione con altre istituzioni, agenzie o organi dell'Unione, partecipa a visite di valutazione di comune accordo con lo Stato terzo o l'organizzazione internazionale interessati. Tali visite valutano:

  1. a) il quadro normativo applicabile per la protezione delle informazioni classificate;

  2. b) eventuali aspetti specifici della politica di sicurezza e del modo in cui è organizzata la sicurezza nello Stato terzo o nell'organizzazione internazionale che potrebbero avere un impatto sul livello delle informazioni classificate che possono essere oggetto di scambio;

  3. c) le misure e le procedure di sicurezza effettivamente attuate; e

  4. d) le procedure per il nulla osta di sicurezza per il livello delle ICUE da comunicare.

Art. 56 Disposizioni amministrative

1. Qualora nell'ambito di un contesto politico o giuridico dell'Unione sussista una necessità a lungo termine di scambiare informazioni classificate in generale di livello non superiore a RESTREINT UE/EU RESTRICTED con uno Stato terzo o un'organizzazione internazionale e qualora l'autorità di sicurezza della Commissione, previa consultazione del gruppo di esperti in materia di sicurezza della Commissione, abbia stabilito in particolare che la parte in questione non possiede un sistema di sicurezza sufficientemente sviluppato da consentirle di concludere un accordo sulla sicurezza delle informazioni, la Commissione può pattuire accordi amministrativi con le autorità competenti dello Stato terzo o dell'organizzazione internazionale in questione.

2. Gli accordi amministrativi assumono di norma la forma di uno scambio di lettere.

3. Prima di concludere l'accordo viene effettuata una visita di valutazione. Il gruppo di esperti in materia di sicurezza della Commissione è informato dei risultati della visita di valutazione. Qualora vi siano ragioni eccezionali per uno scambio urgente di informazioni classificate, possono essere comunicate ICUE purché venga compiuto ogni sforzo per effettuare tale visita di valutazione il più presto possibile.

4. Le ICUE non sono oggetto di scambio per via elettronica a meno che non sia esplicitamente previsto dall'accordo amministrativo.

Art. 57 Comunicazione eccezionale ad hoc di ICUE

1. Se non sono stati conclusi accordi sulla sicurezza delle informazioni o accordi amministrativi e se la Commissione o uno dei suoi servizi stabilisce che sussista una necessità eccezionale, nell'ambito di un contesto politico o giuridico dell'Unione, di comunicare ICUE ad uno Stato terzo od ad un'organizzazione internazionale, l'autorità di sicurezza della Commissione, per quanto possibile, verifica con le autorità di sicurezza dello Stato terzo o dell'organizzazione internazionale interessati che le rispettive normative, strutture e procedure in materia di sicurezza siano tali da garantire che le ICUE comunicate siano protette secondo norme non meno rigorose di quelle previste nella presente decisione.

2. La decisione di comunicare ICUE allo Stato terzo o all'organizzazione internazionale in questione, previa consultazione del gruppo di esperti in materia di sicurezza della Commissione, viene presa dalla Commissione in base a una proposta del membro della Commissione responsabile della sicurezza.

3. In seguito alla decisione della Commissione di comunicare ICUE e previo consenso scritto dell'originatore, compresi gli originatori delle fonti che possono contenere, il servizio competente della Commissione inoltra le informazioni in questione, che riportano un contrassegno di divulgabilità indicante lo Stato terzo o l'organizzazione internazionale cui sono state comunicate. Prima o al momento della comunicazione effettiva, il terzo in questione si impegna per iscritto a proteggere le ICUE che riceve conformemente ai principi fondamentali e alle norme minime stabiliti nella presente decisione.

Capo 8. Disposizioni finali

Art. 58 Sostituzione di precedenti decisioni

La presente decisione abroga e sostituisce la decisione 2001/844/CE, CECA, Euratom della Commissione14.

Art. 59 Informazioni classificate create prima dell'entrata in vigore della presente decisione

1. Tutte le ICUE classificate conformemente alla decisione 2001/844/CE, CECA, Euratom continuano a essere protette conformemente alle pertinenti disposizioni della presente decisione.

2. Tutte le informazioni classificate in possesso della Commissione alla data di entrata in vigore della decisione 2001/844/CE, CECA, Euratom, eccetto le informazioni classificate Euratom:

  1. a) se create dalla Commissione, continuano a essere considerate riclassificate per difetto al livello «RISERVATO UE», a meno che l'autore abbia deciso di conferire loro un'altra classificazione entro il 31 gennaio 2002 e ne abbia informato tutti i destinatari del documento in questione;

  2. b) se create da fonti esterne alla Commissione, conservano la classificazione originaria e sono quindi trattate come ICUE di grado equivalente, a meno che l'autore acconsenta a declassificarle o declassarle.

Art. 60 Norme di attuazione e comunicazioni di sicurezza

1. Se necessario, l'adozione delle norme di attuazione della presente decisione sarà oggetto di una decisione separata della Commissione volta ad abilitare il membro della Commissione responsabile della sicurezza, nel pieno rispetto del regolamento interno.

2. Una volta abilitato in forza della suddetta decisione della Commissione, il membro della Commissione responsabile della sicurezza può elaborare comunicazioni di sicurezza che definiscano orientamenti e migliori pratiche in materia nel quadro della presente decisione e delle relative norme di attuazione.

3. La Commissione può delegare i compiti di cui ai paragrafi 1 e 2 al direttore generale delle risorse umane e della sicurezza con decisione di delega separata, nel pieno rispetto del regolamento interno.

Art. 61 Entrata in vigore

La presente decisione entra in vigore il giorno successivo alla pubblicazione nella Gazzetta ufficiale dell'Unione europea.

Fatto a Bruxelles, il 13 marzo 2015 Per la Commissione Il presidente Jean-Claude Juncker

Fonti e licenze