diritto.io

Decisione (UE, Euratom) 2017/46 della Commissione del 10 gennaio 2017 sulla sicurezza dei sistemi di comunicazione e informazione della Commissione europea

Testo vigente

Art. 3 Principi per la sicurezza informatica alla Commissione

1. La sicurezza informatica alla Commissione si basa sui principi di legalità, trasparenza, proporzionalità e responsabilità.

2. Le questioni di sicurezza informatica sono prese in considerazione fin dall'inizio dell'elaborazione e attuazione dei CIS della Commissione. A tal fine, la direzione generale dell'Informatica e la direzione generale Risorse umane e sicurezza sono coinvolte per i rispettivi ambiti di competenza.

3. Una sicurezza informatica efficace assicura livelli adeguati di:

  1. a) autenticità: la garanzia che l'informazione è veritiera e proviene da fonti in buona fede;

  2. b) disponibilità: la proprietà di accessibilità e utilizzabilità su richiesta di un'entità autorizzata;

  3. c) riservatezza: la proprietà per cui l'informazione non è divulgata a persone, entità o procedure non autorizzate;

  4. d) integrità: la proprietà di tutela della precisione e della completezza delle informazioni e delle risorse;

  5. e) non disconoscibilità: la capacità di provare che un'azione o un evento sono effettivamente accaduti e non possono essere negati in seguito;

  6. f) protezione dei dati personali: la fornitura di garanzie adeguate in relazione ai dati personali nel pieno rispetto del regolamento (CE) n. 45/2001;

  7. g) segreto professionale: la protezione di informazioni del tipo coperte dal segreto professionale, in particolare informazioni relative a imprese, alle loro relazioni commerciali o alle loro componenti di costo di cui all'articolo 339 del TFUE.

4. La sicurezza informatica si basa su un processo di gestione del rischio che intende stabilire i livelli di rischio per la sicurezza e definire le misure di sicurezza per contenerli entro un livello adeguato e con un costo proporzionato.

5. Tutti i CIS sono identificati, assegnati a un proprietario di sistema e registrati in un inventario.

6. I requisiti di sicurezza di tutti i CIS sono determinati sulla base delle loro esigenze di sicurezza e delle esigenze in materia di sicurezza delle informazioni da essi trattate. I CIS che forniscono servizi ad altri CIS possono essere progettati per sostenere determinati livelli di esigenze in materia di sicurezza.

7. I piani di sicurezza informatica e le relative misure di sicurezza sono proporzionati alle esigenze di sicurezza dei CIS.

8. I processi relativi ai principi e alle attività di cui ai paragrafi da 1 a 7 sono ulteriormente dettagliati nelle norme di attuazione ai sensi dell'articolo 13.

Capo 2. Organizzazione e responsabilità

Art. 4 Organo di gestione interno

L'organo di gestione interno ha la responsabilità generale della gestione della sicurezza informatica complessiva all'interno della Commissione.

Art. 5 Comitato direttivo per la sicurezza dell'informazione (ISSB)

1. L'ISSB è presieduto dal segretario generale aggiunto competente per la governance della sicurezza informatica della Commissione. I suoi membri rappresentano gli interessi commerciali, tecnologici e di sicurezza di tutti i servizi della Commissione e comprendono rappresentanti della direzione generale dell'Informatica, della direzione generale Risorse umane e sicurezza, della direzione generale del Bilancio e, a rotazione ogni due anni, i rappresentanti di altri quattro servizi della Commissione coinvolti in cui la sicurezza informatica costituisce una grave preoccupazione per le loro operazioni. L'adesione è a livello di alta dirigenza.

2. L'ISSB assiste l'organo di gestione interno nelle sue mansioni in materia di sicurezza informatica. Ha la responsabilità operativa della gestione della sicurezza informatica complessiva all'interno della Commissione.

3. L'ISBB formula raccomandazioni in materia di politica di sicurezza informatica da adottare da parte della Commissione.

4. Esamina e riferisce ogni due anni al Consiglio di amministrazione in materia di questioni di governance nonché di temi che riguardano la sicurezza informatica, compresi gli incidenti gravi di sicurezza informatica.

5. Controlla ed esamina l'attuazione globale della presente decisione e riferisce in merito all'organo di gestione interno.

6. Su proposta della direzione generale dell'Informatica, esamina, approva e controlla l'attuazione della strategia di sicurezza in corso. Riferisce in merito all'organo di gestione interno.

7. Monitora, valuta e controlla le modalità di trattamento del rischio per le informazioni interne ed esercita il potere di emanare prescrizioni formali per apportare miglioramenti laddove necessario.

8. I processi relativi alle responsabilità e attività di cui ai paragrafi da 1 a 7 sono ulteriormente dettagliati nelle norme di attuazione ai sensi dell'articolo 13.

Art. 6 Direzione generale Risorse umane e Sicurezza

Per quanto riguarda la sicurezza informatica, la direzione generale Risorse umane e sicurezza ha le seguenti responsabilità. Essa:

  1. (1) garantisce l'allineamento tra la politica in materia di sicurezza informatica e la politica in materia di sicurezza delle informazioni della Commissione;

  2. (2) istituisce un quadro per l'autorizzazione a utilizzare le tecnologie di crittografia per la conservazione e la trasmissione delle informazioni da parte dei CIS;

  3. (3) informa la direzione generale dell'Informatica in merito a minacce specifiche che potrebbero avere un impatto significativo sulla sicurezza dei CIS e sui set di dati che essi trattano;

  4. (4) svolge ispezioni di sicurezza per verificare la conformità dei CIS della Commissione alla politica di sicurezza e riferirne i risultati all'ISSB;

  5. (5) istituisce un quadro per l'autorizzazione di accesso e le relative norme di sicurezza adeguate per i CIS della Commissione da reti esterne e sviluppa le norme e gli orientamenti di sicurezza informatica in stretta collaborazione con la direzione generale dell'Informatica;

  6. (6) propone principi e norme per l'esternalizzazione dei CIS al fine di mantenere un adeguato controllo sulla sicurezza delle informazioni;

  7. (7) sviluppa le norme di sicurezza informatica e i relativi orientamenti di cui ai punti da 1) a 6), in stretta collaborazione con la direzione generale dell'Informatica;

  8. (8) i processi relativi alle responsabilità e attività di cui ai punti da 1) a 7) sono ulteriormente dettagliati nelle norme di attuazione ai sensi dell'articolo 13.

Art. 7 Direzione generale dell'Informatica

Per quanto riguarda la sicurezza informatica complessiva della Commissione, la direzione generale dell'Informatica ha le seguenti responsabilità. Essa:

  1. (1) sviluppa norme e orientamenti in materia di sicurezza informatica, ad eccezione dei casi di cui all'articolo 6, in stretta collaborazione con la direzione generale Risorse umane e sicurezza, al fine di garantire la coerenza tra la politica in materia di sicurezza informatica e la politica della Commissione in materia di sicurezza delle informazioni, e li propone all'ISSB;

  2. (2) valuta i metodi di gestione dei rischi per la sicurezza informatica, i relativi processi e i risultati di tutti i servizi della Commissione e ne riferisce periodicamente all'ISSB;

  3. (3) sottopone all'esame e all'approvazione dell'ISSB una strategia di sicurezza informatica, che successivamente deve essere adottata dall'organo di gestione interno, e propone un programma, comprendente la pianificazione di progetti e attività per l'attuazione della strategia in materia di sicurezza informatica;

  4. (4) monitora l'esecuzione della strategia della Commissione in materia di sicurezza informatica e riferisce periodicamente in merito all'ISSB;

  5. (5) monitora i rischi in materia di sicurezza informatica e le relative misure attuate dai CIS e riferisce periodicamente in merito all'ISSB;

  6. (6) riferisce periodicamente all'ISSB in merito all'attuazione generale e alla conformità alla presente decisione;

  7. (7) previa consultazione con la direzione generale Risorse umane e sicurezza, richiede ai proprietari del sistema di adottare specifiche misure in materia di sicurezza informatica al fine di attenuare i rischi per la sicurezza informatica dei CIS della Commissione;

  8. (8) assicura la disponibilità di un catalogo adeguato dei servizi in materia di sicurezza informatica della direzione generale dell'Informatica per i proprietari dei sistemi e i proprietari dei dati affinché adempiano alle loro responsabilità in materia di sicurezza informatica e rispettino la politica in materia di sicurezza informatica e le relative norme;

  9. (9) fornisce un'adeguata documentazione ai proprietari dei sistemi e dei dati e si consulta con essi, ove opportuno, sulle misure di sicurezza informatica attuate per i loro servizi informatici al fine di facilitare la conformità alla politica in materia di sicurezza informatica e assistere i proprietari dei sistemi nella gestione dei rischi informatici;

  10. (10) organizza riunioni periodiche della rete dei LISO e li assiste ai fini dello svolgimento dei loro compiti;

  11. (11) definisce le esigenze di formazione e coordina i programmi di formazione sulla sicurezza informatica in collaborazione con i servizi della Commissione, e sviluppa, realizza e coordina le campagne di sensibilizzazione alla sicurezza informatica in stretta collaborazione con la direzione generale Risorse umane;

  12. (12) garantisce che i proprietari dei sistemi, i proprietari dei dati e i diversi ruoli con responsabilità in materia di sicurezza informatica all'interno dei servizi della Commissione siano a conoscenza della politica in materia di sicurezza informatica;

  13. (13) informa la direzione generale Risorse umane e sicurezza in merito a specifici rischi di sicurezza informatica, incidenti ed eccezioni alla politica della Commissione in materia di sicurezza informatica notificati dai proprietari dei sistemi che potrebbero avere un impatto significativo sulla sicurezza alla Commissione;

  14. (14) in merito al proprio ruolo di fornitore di servizi informatici interni, fornisce alla Commissione un catalogo di servizi informatici condivisi capaci di garantire livelli definiti di sicurezza. Ciò sarà effettuato mediante valutazione, gestione e controllo sistematici dei rischi di sicurezza informatica per attuare le misure di sicurezza al fine di raggiungere il livello di sicurezza definito;

  15. (15) i processi relativi alle responsabilità e attività di cui ai punti da 1) a 14) sono ulteriormente dettagliati nelle norme di attuazione ai sensi dell'articolo 13.

Art. 8 Servizi della Commissione

In relazione alla sicurezza informatica nei propri servizi, il capo di ciascun servizio della Commissione:

  1. (1) nomina formalmente per ogni CIS un proprietario del sistema, che è un funzionario o un agente temporaneo, il quale è responsabile della sicurezza informatica di tale CIS e nomina formalmente un proprietario dei dati per ogni set di dati trattati in un CIS che dovrebbe appartenere alla stessa unità amministrativa responsabile del trattamento dei dati per i set di dati soggetti al regolamento (CE) n. 45/2001;

  2. (2) designa formalmente un responsabile della sicurezza informatica a livello locale (LISO), che può svolgere le funzioni in modo indipendente dai proprietari del sistema e dei dati. Un LISO può essere designato per uno o più dei servizi della Commissione;

  3. (3) garantisce la formulazione e l'attuazione di adeguate valutazioni dei rischi per la sicurezza informatica e dei piani per la sicurezza informatica;

  4. (4) garantisce la trasmissione periodica di una sintesi di tali rischi e delle misure in materia di sicurezza informatica alla direzione generale dell'Informatica;

  5. (5) garantisce, con il sostegno della direzione generale dell'Informatica, l'adozione di adeguati processi, procedure e soluzioni per individuare, segnalare e risolvere efficacemente gli incidenti di sicurezza informatica riguardanti i CIS;

  6. (6) avvia una procedura di emergenza in caso di emergenze in materia di sicurezza informatica;

  7. (7) detiene la responsabilità finale per la sicurezza informatica, comprese le responsabilità del proprietario del sistema e del proprietario dei dati;

  8. (8) sostiene i rischi legati ai loro CIS e alle loro serie di dati;

  9. (9) risolve eventuali divergenze tra i proprietari dei dati e i proprietari dei sistemi e, in caso di disaccordo persistente, porta la questione dinanzi all'ISSB per trovare una soluzione;

  10. (10) assicura che i piani e le misure di sicurezza informatica siano attuati e che i rischi siano adeguatamente coperti;

  11. (11) i processi relativi alle responsabilità e attività di cui ai punti da 1) a 10) sono ulteriormente dettagliati nelle norme di attuazione ai sensi dell'articolo 13.

Art. 9 Proprietari dei sistemi

1. Il proprietario del sistema è responsabile della sicurezza informatica del CSI e riferisce al capo del servizio della Commissione.

2. In relazione alla sicurezza informatica, il proprietario del sistema:

  1. a) assicura la conformità del CIS alla politica in materia di sicurezza informatica;

  2. b) assicura che il CIS sia accuratamente registrato nel relativo inventario;

  3. c) valuta i rischi per la sicurezza informatica e determina le esigenze in materia di sicurezza informatica per ogni CIS, in collaborazione con i proprietari dei dati e in consultazione con la direzione generale dell'Informatica;

  4. d) elabora un piano di sicurezza che comprende, se del caso, precisazioni sui rischi stimati e eventuali ulteriori misure di sicurezza necessarie;

  5. e) attua misure di sicurezza informatica adeguate, proporzionali ai rischi individuati, e segue le raccomandazioni approvate dall'ISSB;

  6. f) individua le dipendenze in relazione ad altri CIS o servizi informatici condivisi e attua adeguate misure di sicurezza sulla base dei livelli di sicurezza proposti dai CIS o dai servizi informatici condivisi in questione:

  7. g) gestisce e monitora i rischi in materia di sicurezza informatica;

  8. h) riferisce periodicamente al capo del servizio della Commissione sul profilo di rischio per la sicurezza informatica dei CIS e riferisce alla direzione generale dell'Informatica in merito ai rischi connessi, alle attività di gestione dei rischi e alle misure di sicurezza adottate;

  9. i) consulta il LISO dei servizi competenti della Commissione in merito agli aspetti della sicurezza informatica;

  10. j) pubblica istruzioni per gli utenti sull'uso del CIS e dei dati associati nonché sulle responsabilità degli utenti relative al CIS;

  11. k) chiede l'autorizzazione della direzione generale Risorse umane e sicurezza, in qualità di autorità Crypto, per qualsiasi CIS che utilizzi le tecnologie di crittografia;

  12. l) consulta l'autorità di sicurezza della Commissione in anticipo in merito a qualsiasi sistema per il trattamento delle informazioni classificate dell'UE;

  13. m) garantisce che copie di backup di tutte le chiavi di decriptazione siano conservate in un conto bloccato di garanzia. Il recupero dei dati crittati è effettuato solo se autorizzato in conformità del quadro definito dalla direzione generale Risorse umane e sicurezza;

  14. n) rispetta le istruzioni dei controllori dei dati pertinenti in materia di protezione dei dati personali e di applicazione delle norme sulla protezione dei dati in materia di sicurezza del trattamento;

  15. o) informa la direzione generale dell'Informatica delle eccezioni alla politica di sicurezza informatica della Commissione, allegando le giustificazioni pertinenti;

  16. p) trasmette eventuali controversie non risolvibili tra il proprietario dei dati e il proprietario del sistema al capo del servizio della Commissione, comunica gli incidenti di sicurezza informatica alle pertinenti parti interessate in modo tempestivo, in funzione delle circostanze, a seconda della gravità dei casi di cui all'articolo 15;

  17. q) per i sistemi esternalizzati, assicura che adeguati sistemi di sicurezza informatica siano inclusi nei contratti di esternalizzazione e che gli incidenti di sicurezza informatica che si verificano nei CIS esternalizzati siano segnalati ai sensi dell'articolo 15;

  18. r) per i CIS che forniscono servizi informatici condivisi, garantisce che un determinato livello di sicurezza, chiaramente documentato, sia attuato e che misure di sicurezza siano attuate per i CIS in questione al fine di raggiungere il livello di sicurezza.

3. I proprietari dei sistemi possono formalmente delegare alcuni o tutti i loro compiti in materia di sicurezza informatica, ma restano responsabili della sicurezza informatica dei loro CIS.

4. I processi relativi alle responsabilità e attività di cui ai paragrafi da 1 a 3 sono ulteriormente dettagliati nelle norme di attuazione ai sensi dell'articolo 13.

Art. 10 Proprietari dei dati

1. Il proprietario dei dati è responsabile della sicurezza informatica di un set di dati specifico nei confronti del capo del servizio della Commissione ed è tenuto a rispondere della riservatezza, integrità e disponibilità del set di dati.

2. In relazione ai set di dati, il proprietario dei dati:

  1. a) garantisce che tutti i set di dati sotto la sua responsabilità siano adeguatamente classificati in conformità alle decisioni (UE, Euratom) 2015/443 e 2015/444;

  2. b) definisce le esigenze di sicurezza delle informazioni e ne informa i rispettivi proprietari dei sistemi;

  3. c) partecipa alla valutazione del rischio per il CIS;

  4. d) trasmette eventuali controversie non risolvibili tra il proprietario dei dati e il proprietario del sistema al capo del servizio della Commissione;

  5. e) comunica gli incidenti di sicurezza informatica conformemente all'articolo 15.

3. I proprietari dei dati possono formalmente delegare alcuni o tutti i loro compiti in materia di sicurezza informatica, ma restano responsabili di quanto specificato al presente articolo.

4. I processi relativi alle responsabilità e attività di cui ai paragrafi da 1 a 3 sono ulteriormente dettagliati nelle norme di attuazione ai sensi dell'articolo 13.

Art. 11 Responsabili della sicurezza informatica a livello locale (LISO)

1. In relazione alla sicurezza informatica, il LISO:

  1. a) identifica in modo proattivo e informa i proprietari dei sistemi, i proprietari dei dati e gli altri ruoli con responsabilità in materia di sicurezza informatica all'interno dei servizi della Commissione in materia di sicurezza informatica;

  2. b) collabora in merito a temi che riguardano la sicurezza informatica nei servizi della Commissione con la direzione generale dell'Informatica nell'ambito della rete LISO;

  3. c) partecipa alle riunioni periodiche dei LISO;

  4. d) mantiene una visione globale del processo di gestione del rischio per la sicurezza delle informazioni e dell'elaborazione e attuazione di piani di sicurezza dei sistemi informatici;

  5. e) fornisce consulenze ai proprietari dei dati, ai proprietari dei sistemi e ai capi dei servizi della Commissione su temi che riguardano la sicurezza informatica;

  6. f) collabora con la direzione generale dell'Informatica per diffondere le buone pratiche in materia di sicurezza informatica e propone programmi specifici di sensibilizzazione e formazione;

  7. g) riferisce sulla sicurezza informatica e segnala le carenze e i miglioramenti al capo dei servizi della Commissione.

2. I processi relativi alle responsabilità e attività di cui al paragrafo 1 sono ulteriormente dettagliati nelle norme di attuazione ai sensi dell'articolo 13.

Art. 12 Utenti

1. In relazione alla sicurezza informatica, gli utenti:

  1. a) rispettano la politica in materia di sicurezza informatica e le istruzioni impartite dal proprietario del sistema sull'uso di ciascun CIS;

  2. b) comunicano gli incidenti di sicurezza informatica conformemente all'articolo 15.

2. L'utilizzo dei CIS della Commissione in violazione della politica in materia di sicurezza informatica o delle istruzioni impartite dal proprietario del sistema può dar luogo a procedimenti disciplinari.

3. I processi relativi alle responsabilità e attività di cui ai paragrafi 1 e 2 sono ulteriormente dettagliati nelle norme di attuazione ai sensi dell'articolo 13.

Capo 3. Requisiti e obblighi di sicurezza

Art. 13 Attuazione della presente decisione

1. L'adozione delle norme di attuazione di cui all'articolo 6, punto 2), e delle relative norme e orientamenti, possono essere oggetto di una decisione di autorizzazione della Commissione a favore del membro della Commissione responsabile delle questioni di sicurezza.

2. L'adozione di ogni altra norma di attuazione relativa alla presente decisione, e delle relative norme e degli orientamenti in materia di sicurezza informatica, può essere oggetto di una decisione di autorizzazione della Commissione a favore del membro della Commissione responsabile dell'informatica.

3. L'ISSB approva le norme di attuazione, le norme e gli orientamenti di cui ai paragrafi 1 e 2 prima della loro adozione.

Art. 14 Obbligo di rispettare le disposizioni

1. È obbligatorio rispettare le disposizioni delineate nella politica in materia di sicurezza informatica e le relative norme.

2. L'inosservanza delle disposizioni di sicurezza informatica e delle relative norme è passibile di azione disciplinare conformemente ai trattati, allo statuto dei funzionari e all'RAA, di sanzioni contrattuali e/o di azione legale nell'ambito delle disposizioni normative e regolamentari nazionali.

3. La direzione generale dell'Informatica è informata di eventuali eccezioni alla politica in materia di sicurezza informatica.

4. Nel caso in cui l'ISSB decida che esiste un rischio inaccettabile per un CIS della Commissione, la direzione generale dell'Informatica in collaborazione con il proprietario del sistema sottopone misure di mitigazione all'approvazione dell'ISSB. Tali misure possono tra l'altro comprendere il rafforzamento del monitoraggio e della rendicontazione, limitazioni del servizio e l'interruzione delle forniture.

5. L'ISSB impone l'attuazione di misure di mitigazione ove necessario. Può anche raccomandare al direttore generale della direzione generale Risorse umane e sicurezza di aprire un'indagine amministrativa. La direzione generale dell'Informatica riferisce all'ISSB in merito a ogni situazione in cui vengono imposte misure di attenuazione.

6. I processi relativi alle responsabilità e attività di cui ai paragrafi da 1 a 5 sono ulteriormente dettagliati nelle norme di attuazione ai sensi dell'articolo 13.

Art. 15 Trattamento degli incidenti di sicurezza informatica

1. La direzione generale dell'Informatica è il principale responsabile della fornitura di capacità di risposta agli incidenti di sicurezza informatica operativa all'interno della Commissione europea.

2. La direzione generale Risorse umane e sicurezza, in quanto soggetto che coadiuva la risposta agli incidenti di sicurezza informatica:

  1. a) ha il diritto di accedere a informazioni sintetiche su ogni incidente e alla documentazione completa su richiesta;

  2. b) partecipa a gruppi di gestione delle crisi a seguito di incidenti di sicurezza informatica e alle procedure di emergenza in caso di incidente informatico;

  3. c) è incaricata delle relazioni con i servizi di contrasto e i servizi segreti;

  4. d) svolge analisi forensi riguardanti la sicurezza informatica, conformemente all'articolo 11 della decisione (UE, Euratom) 2015/443;

  5. e) decide in merito alla necessità di avviare un'indagine formale;

  6. f) informa la direzione generale dell'Informatica di eventuali incidenti di sicurezza informatica che potrebbero presentare un rischio per altri CIS.

3. Tra la direzione generale dell'Informatica e la direzione generale Risorse umane e sicurezza si tengono comunicazioni periodiche per scambiare informazioni e coordinare la gestione degli incidenti di sicurezza e, in particolare, di quelli che potrebbero richiedere un'indagine formale.

4. È possibile avvalersi dei servizi di coordinamento degli incidenti della squadra di pronto intervento informatico delle istituzioni, degli organi e delle agenzie europee («CERT-UE») per coadiuvare, se del caso, la procedura di trattamento degli incidenti e condividere le conoscenze con altre istituzioni e agenzie dell'UE che potrebbero essere coinvolte.

5. I proprietari dei sistemi coinvolti in un incidente di sicurezza informatica:

  1. a) notificano immediatamente al capo dei servizi della Commissione, alla direzione generale dell'Informatica, alla direzione generale Risorse umane, al LISO e, se del caso, al proprietario dei dati gli incidenti gravi di sicurezza informatica, in particolare quelli riguardanti la violazione della riservatezza dei dati;

  2. b) cooperano e seguono le istruzioni delle autorità competenti della Commissione in materia di comunicazione degli incidenti, risposta e ripristino.

6. Gli utenti comunicano tempestivamente all'helpdesk competente tutti gli incidenti, concreti o sospetti, di sicurezza informatica.

7. I proprietari dei dati comunicano tempestivamente alla squadra di pronto intervento informatico competente tutti gli incidenti, concreti o sospetti, di sicurezza informatica.

8. La direzione generale dell'Informatica, con il sostegno degli altri soggetti coinvolti, è responsabile del trattamento di qualsiasi incidente di sicurezza informatica rilevato in relazione ai CIS della Commissione che non siano sistemi esternalizzati.

9. La direzione generale dell'Informatica informa i servizi interessati della Commissione in merito a incidenti di sicurezza informatica, i LISO pertinenti e, se del caso, il CERT-UE sulla base del principio della necessità di sapere.

10. La direzione generale dell'Informatica trasmette periodicamente all'ISSB una relazione sugli indicenti gravi di sicurezza informatica che interessano i CIS della Commissione.

11. Su richiesta, il LISO pertinente ha accesso alla documentazione relativa all'incidente di sicurezza informatica riguardante il CIS del servizio della Commissione.

12. In caso di grave incidente di sicurezza informatica, la direzione generale dell'Informatica è il punto di contatto per la gestione delle situazioni di crisi e coordina i gruppi di gestione delle crisi a seguito di incidenti di sicurezza informatica.

13. In caso di emergenza, il direttore generale della direzione generale dell'Informatica può decidere di avviare una procedura di emergenza in materia di sicurezza informatica. La direzione generale dell'Informatica elabora procedure di emergenza che devono essere approvate dall'ISSB.

14. La direzione generale dell'Informatica trasmette all'ISSB e ai capi dei servizi della Commissione interessati una relazione sull'esecuzione delle procedure di emergenza.

15. I processi relativi alle responsabilità e attività di cui ai paragrafi da 1 a 14 sono ulteriormente dettagliati nelle norme di attuazione ai sensi dell'articolo 13.

Capo 4. Disposizioni finali

Art. 16 Trasparenza

La presente decisione è resa nota al personale della Commissione e a tutte le persone cui si applica, ed è pubblicata nella Gazzetta ufficiale dell'Unione europea.

Art. 17 Relazione con altri atti

Le disposizioni della presente decisione lasciano impregiudicati la decisione (UE, Euratom) 2015/443, la decisione (UE, Euratom) 2015/444, il regolamento (CE) n. 45/2001, il regolamento (CE) n. 1049/2001 del Parlamento europeo e del Consiglio4, la decisione (CE, CECA, Euratom) 2002/475, il regolamento (UE, Euratom) n. 883/2013 del Parlamento europeo e del Consiglio6, la decisione 1999/352/CE, CECA, Euratom.

Art. 18 Abrogazione e disposizioni transitorie

La decisione C(2006) 3602 del 16 agosto 2006 è abrogata.

Le norme di attuazione e le norme di sicurezza informatica adottate a norma dell'articolo 10 della decisione C(2006) 3602 rimangono in vigore nella misura in cui non siano in contrasto con la presente decisione, fino a quando non saranno sostituite dalle norme di attuazione e dalle norme che devono essere adottate conformemente all'articolo 13 della presente decisione. Ogni riferimento all'articolo 10 della decisione C(2006)3602 deve essere letto come un riferimento all'articolo 13 della presente decisione.

Art. 19 Entrata in vigore

La presente decisione entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell'Unione europea.

Fatto a Bruxelles, il 10 gennaio 2017 Per la Commissione Il presidente Jean-Claude Juncker

Fonti e licenze