Decisione (UE, Euratom) 2018/559 della Commissione del 6 aprile 2018 che stabilisce le norme di attuazione dell'articolo 6 della decisione (EU, Euratom) 2017/46 sulla sicurezza dei sistemi di comunicazione e informazione della Commissione europea

1. L'uso di tecnologie di crittografia per la protezione delle informazioni classificate UE (ICUE) è conforme alla decisione (UE, Euratom) 2015/444.

2. Le decisioni relative all'uso delle tecnologie di crittografia per la protezione dei dati non ICUE sono adottate dal proprietario del sistema di ciascun CIS, tenendo conto sia dei rischi che si vogliono ridurre grazie alla crittografia sia dei rischi che l'uso della crittografia comporta.

3. L'approvazione preventiva della CAA è richiesta per tutti gli usi delle tecnologie di crittografia, a meno che la crittografia sia utilizzata esclusivamente per proteggere la riservatezza dei dati non ICUE in transito e utilizzi protocolli standard per le comunicazioni di rete.

4. Con l'eccezione di cui al paragrafo 3, i servizi della Commissione si assicurano che copie di backup di tutte le chiavi di decriptazione siano depositate presso terzi allo scopo di recuperare le informazioni memorizzate nel caso in cui la chiave di decriptazione non sia disponibile. Il recupero dei dati criptati utilizzando i backup delle chiavi di decriptazione viene effettuato solo previa autorizzazione in conformità alla norma definita dalla CAA.

5. Le domande di approvazione dell'uso delle tecnologie di crittografia sono formalmente documentate e includono tutte le informazioni sul CIS e i dati da proteggere, le tecnologie da usare e le relative procedure operative di sicurezza. Le domande di approvazione sono firmate dal proprietario del sistema.

6. Le domande di approvazione dell'uso delle tecnologie di crittografia sono valutate dalla CAA in conformità alle norme e ai requisiti pubblicati.

1. La direzione generale Risorse umane e sicurezza effettua ispezioni sulla sicurezza informatica per verificare che le misure di sicurezza informatica siano conformi alle politiche di sicurezza informatica della Commissione e accertarsi dell'integrità di tali misure di controllo.

2. La direzione generale Risorse umane e sicurezza può effettuare un'ispezione sulla sicurezza informatica:

1. a) di propria iniziativa;

2. b) su richiesta del comitato direttivo per la sicurezza dell'informazione (ISSB);

3. c) su richiesta pervenuta da un proprietario del sistema;

4. d) a seguito di un incidente di sicurezza informatica; oppure

5. e) qualora sia stato individuato un rischio elevato per un particolare sistema.

3. I proprietari dei dati possono richiedere che sia effettuata un'ispezione sulla sicurezza informatica prima di archiviare le loro informazioni in un CIS.

4. I risultati dell'ispezione sono documentati in una relazione ufficiale inviata al proprietario del sistema, con copia al responsabile della sicurezza informatica a livello locale (LISO), contenente le risultanze e le raccomandazioni per migliorare la conformità del CIS alla politica di sicurezza informatica. La direzione generale Risorse umane e sicurezza riferisce all'ISSB in merito ai principali problemi e alle raccomandazioni formulate.

5. La direzione generale Risorse umane e sicurezza verifica l'attuazione delle raccomandazioni.

6. Laddove opportuno, le ispezioni sulla sicurezza informatica comprendono l'ispezione di servizi, locali e apparecchiature fornite al proprietario del sistema, e riguardano i fornitori di servizi sia interni sia esterni.

1. La direzione generale Risorse umane e sicurezza fissa le regole in una norma sull'autorizzazione dell'accesso tra i CIS della Commissione e le reti esterne.

2. Tali regole operano una distinzione tra i diversi tipi di connessioni da reti esterne e stabiliscono appropriate regole di sicurezza per ciascun tipo di connessione, precisando anche se è necessaria la previa autorizzazione dell'autorità competente, come indicato al paragrafo 4.

3. Se necessario, l'autorizzazione viene concessa sulla base di una richiesta e di un processo di approvazione formali. L'approvazione è valida per una durata determinata e deve essere ottenuta prima di attivare la connessione.

4. La direzione generale Risorse umane e sicurezza ha la responsabilità generale di autorizzare le domande, ma può, ai sensi dell'articolo 17, paragrafo 3, della decisione (EU/Euratom) 2015/443, delegare, a propria discrezione, la responsabilità di autorizzare alcuni tipi di connessioni, fatte salve le condizioni di cui al paragrafo 8.

5. L'entità che rilascia l'autorizzazione può imporre requisiti di sicurezza aggiuntivi come prerequisito per l'approvazione al fine di proteggere il CIS e le reti della Commissione dai rischi di accesso non autorizzato e altre violazioni della sicurezza.

6. La direzione generale dell'Informatica è il fornitore abituale di servizi di rete per la Commissione. Ogni altro servizio della Commissione che utilizza una rete non fornita dalla direzione generale dell'Informatica ottiene la previa autorizzazione dell'ISSB. Il servizio della Commissione documenta la giustificazione commerciale alla base della richiesta e dimostra che i controlli sulla rete sono sufficienti per rispettare i requisiti di verifica dei flussi di informazioni in entrata e in uscita.

7. Il proprietario del sistema del CIS stabilisce i requisiti di sicurezza per l'accesso esterno a tale CIS e garantisce, con il sostegno del LISO, l'attuazione di adeguate misure per proteggerne la sicurezza.

8. Le misure di sicurezza attuate per le connessioni da rete esterna si basano sui principi della necessità di conoscere e del privilegio minimo, in virtù dei quali i singoli ricevono esclusivamente le informazioni e i diritti di accesso necessari all'espletamento dei loro incarichi ufficiali per la Commissione.

9. Tutte le connessioni da rete esterna sono filtrate e monitorate per individuare potenziali violazioni della sicurezza.

10. Quando le connessioni sono stabilite per consentire l'esternalizzazione di un CIS, l'autorizzazione è subordinata al positivo completamento della procedura di cui all'articolo 8.

1. Ai fini della presente decisione un CIS si considera esternalizzato quando viene fornito sulla base di un contratto con un appaltatore terzo in virtù del quale il CIS è ospitato in locali non appartenenti alla Commissione. L'esternalizzazione riguarda uno o più CIS o altri servizi informatici e centri dati situati in locali non appartenenti alla Commissione e la gestione di dataset della Commissione da parte di servizi esterni.

2. Nell'esternalizzare un CIS si tiene conto della sensibilità o della classificazione delle informazioni trattate, secondo le seguenti modalità:

1. a) i CIS che elaborano le ICUE sono accreditati in conformità alla decisione (UE, Euratom) 2015/444, previa consultazione dell'autorità di accreditamento in materia di sicurezza della Commissione. I sistemi che elaborano le ICUE non sono esternalizzati;

2. b) il proprietario del sistema del CIS che elabora informazioni non ICUE applica misure proporzionate per soddisfare le esigenze di sicurezza in conformità ai pertinenti obblighi giuridici o alla sensibilità delle informazioni, tenendo conto dei rischi dell'esternalizzazione. La direzione generale Risorse umane e sicurezza può imporre requisiti supplementari;

3. c) i progetti di sviluppo esternalizzati tengono conto della sensibilità del codice sviluppato e di eventuali dati delle prove utilizzati nella fase di sviluppo.

3. In aggiunta ai principi di cui all'articolo 3 della decisione (UE, Euratom) 2017/46, ai CIS esternalizzati si applicano i seguenti principi:

1. a) gli accordi di esternalizzazione sono formulati in modo tale da evitare la dipendenza da specifici fornitori;

2. b) le disposizioni di sicurezza relative all'esternalizzazione riducono al minimo le possibilità che il personale di terzi abbia accesso alle informazioni della Commissione o le modifichi;

3. c) il personale che ha accesso al CIS esternalizzato sottoscrive un accordo di riservatezza;

4. d) l'esternalizzazione del CIS viene registrata nell'inventario dei CIS.

4.

5. I proprietari dei sistemi gestiscono i rischi connessi con l'esternalizzazione durante la durata di vita del CIS al fine di ottemperare ai requisiti di sicurezza definiti.

6. I proprietari dei sistemi si assicurano che gli appaltatori terzi siano tenuti a notificare immediatamente alla Commissione tutti gli incidenti di sicurezza informatica che interessano un CIS della Commissione esternalizzato.

7. Il proprietario del sistema è responsabile di garantire la conformità del CIS, del contratto di esternalizzazione e delle disposizioni di sicurezza alle norme della Commissione in materia di sicurezza delle informazioni e sicurezza informatica.

8. La direzione generale Risorse umane e sicurezza stabilisce una norma dettagliata relativa alle responsabilità e attività di cui ai punti da 1) a 7), in conformità all'articolo 10.

1. Laddove necessario, le disposizioni della presente decisione sono ulteriormente specificate in norme e/o orientamenti in conformità alla decisione (UE, Euratom) 2017/46 e alla decisione C(2017)7428.. Le norme e gli orientamenti in materia di sicurezza informatica forniscono ulteriori dettagli sulle presenti norme di attuazione e sulla decisione (UE, Euratom) 2017/46 in relazione ad ambiti di sicurezza specifici in conformità alla norma ISO 27001:2013, allegato A. Tali norme e orientamenti si basano sulle migliori pratiche del settore e sono selezionati in modo da essere compatibili con l'ambiente informatico della Commissione.

2. Se necessario, e in conformità alla norma ISO 27001:2013, allegato A, sono elaborate norme attinenti agli ambiti di seguito specificati:

1. 1) organizzazione della sicurezza informatica;

2. 2) sicurezza delle risorse umane;

3. 3) gestione di attività;

4. 4) controllo dell'accesso;

5. 5) crittografia;

6. 6) sicurezza fisica e dell'ambiente;

7. 7) sicurezza operativa;

8. 8) sicurezza delle comunicazioni;

9. 9) acquisizione, sviluppo e manutenzione di sistemi;

10. 10) relazioni con i fornitori;

11. 11) gestione degli incidenti relativi alla sicurezza informatica;

12. 12) aspetti della sicurezza informatica attinenti alla gestione della continuità operativa;

13. 13) conformità.

3. L'ISSB approva le norme di cui ai paragrafi 1 e 2 prima della loro adozione.

4. Sono abrogate le norme di attuazione della decisione C(2006)3602 attinenti all'ambito di applicazione della presente decisione.

5. Le norme e gli orientamenti adottati a norma della decisione C(2006)3602 del 16 agosto 2006 rimangono in vigore nella misura in cui non siano in contrasto con le presenti norme di attuazione e fino a quando siano abrogati o sostituiti da norme o orientamenti da adottare ai sensi dell'articolo 13 della decisione (UE, Euratom) 2017/46.